请大家注意一下,不要牺牲咯!
龙之谷盗号木马
Trojan-PSW.Win32.OnLineGames.d
捕获时间
2010-9-13
危害等级
中
病毒症状
该样本是使用“VC ”编写的盗号木马,用Upack加壳。由微点主动防御软件自动捕获,长度为“25,436 字节”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播,病毒主要目的为盗取网络游戏“龙之谷”的“用户名”、“密码”等相关信息。
用户中毒后,会出现“龙之谷” 游戏无故关闭、输入用户名、密码、密保时游戏运行缓慢的现象,最终将导致虚拟财产被黑客盗取。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载
未安装杀毒软件主动防御软件的手动解决办法:
1、手动删除以下文件:
%Temp%\TML4.tmp
%SystemRoot%\system32\d3d9.dll.tmpz
%SystemRoot%\system32\d3d9.dll
%SystemRoot%\system32\DllCache\d3d9.dll
%SystemRoot%\system32\DllCache\d3d9.dll.tmpx
2、手动更改以下文件
用正常的d3d9.dll替换被感染的
%SystemRoot%\system32\d3d9.dll
%SystemRoot%\system32\DllCache\d3d9.dll
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
病毒分析
1、病毒利用sc.exe打开服务,结束并删除cryptsvc服务,并且不让此服务随机启动,从而关闭系统认证保护功能;
2、查找临时文件夹路径,在%Temp%下创建文件TML4.tmp,提升自身进程权限;
3、建立进程快照,遍历进程查找explorer.exe,然后将TML4.tmp的进程注入explorer.exe,以达到隐藏自身进程目的;
4、获取系统路径,查找系统文件%SystemRoot%\system32\d3d9.dll,找到后将其复制为d3d9.dll.tmpz,并且重写该文件,完成后将系统文件d3d9.dll重命名为d3d9.dll.tmpx,并将感染后的%SystemRoot%\system32 \d3d9.dll.tmpz复制为%SystemRoot%\system32\d3d9.dll和%SystemRoot%\system32 \DllCache\d3d9.dll,DLLCache文件夹中原来正常d3d9.dll重命名为d3d9.dll.tmpx,完成后删除%SystemRoot%\system32\d3d9.dll.tmpx;
5、查找系统文件sfc-os.dll,破坏Windows文件保护。
6、建立进程快照,查找dragonNest.exe进程,找到则结束该游戏进程;
7、获取临时文件夹路径,创建批处理%Temp%\delself.bat批处理删除病毒源文件和自身。
8、游戏运行后会自动加载被病毒感染的%SystemRoot%\system32\d3d9.dll,该文件会让游戏程序加载TML4.tmp;
加载TML4.tmp文件后,创建消息钩子,获取用户帐号密码等信息,发送到黑客指定网址。
病毒创建文件:
%Temp%\TML4.tmp
%SystemRoot%\system32\d3d9.dll.tmpx
%SystemRoot%\system32\d3d9.dll.tmpz
%SystemRoot%\system32\DllCache\d3d9.dll.tmpx
%Temp%\delself.bat
病毒替换文件:
%SystemRoot%\system32\d3d9.dll
%SystemRoot%\system32\DllCache\d3d9.dll
SystemRoot%\system32\sfc-os.dll
病毒删除文件:
%SystemRoot%\system32\d3d9.dll.tmpx
%Temp%\delself.bat
拓展阅读:
龙之谷全裸时代?马赛克什么的最讨厌啦
龙之谷技能伤害值详解 测试数据总结
龙之谷韩服 浅谈国服未来游戏的走向
龙之谷第三章10月中开放40级与纹章系统