-
-
[原创]一个典型的游戏盗号木马逆向分析(有样本)
-
发表于: 2013-4-25 16:00
-
兵法有云:知已知彼,百战不殆。攻克敌人从了解敌人开始。
小弟新作，一个老病毒，练手用，大鸟勿喷！IDB，样本，文档随后附上。
------------------------------------------------------------
病毒大小23KB左右，为游戏盗号木马，采用UPX加壳，开机自启动。运行期间监视游戏帐号和密码等信息的输入，发送到指定的URL，导致游戏帐号和密码的泄露。
一、感染环境
Windows xp，windows 7能感染(其它环境没有测试)
二、感染特征
1、文件行为：
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Valve data =”91C7DF6D.dll”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Valve Name=”ThreadingModel”
Valve date=”Apartment”
hKey = HKEY_LOCAL_MACHINE
Subkey = "Software\microsoft\windows\currentversion\Explorer\shellexecutehooks"
Valve Name=”{91C7DF6D-AEF5-4136-9252-AF030D7A5931}”
hKey = HKEY_LOCAL_MACHINE
Subkey =“Software\microsoft\windows\currentversion\Explorer\shellexecutehooks”
Value name=”{91C7DF6D-AEF5-4136-9252-AF030D7A5931}”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Value date=”91C7DF6D.dll”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Value name=”ThreadingModel”
Value date=”Apartment”
hKey = HKEY_LOCAL_MACHINE
Subkey =“Software\microsoft\windows\currentversion\Explorer\shellexecutehooks”
Value name=”{91C7DF6D-AEF5-4136-9252-AF030D7A5931}”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Value date=”91C7DF6D.dll”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Value name=”ThreadingModel”
Value date=”Apartment”
附件：
附件.zip
- 在%systemroot%\system32下创建：91C7DF6D.dll和91C7DF6D.cfg，其中91C7DF6D.dll为木码盗号DLL，91C7DF6D.cfg为加密的URL内容。解密后为：
http://www.y0uku1.com/cia/bike.asp
在%Temp%目录下，创建前缀为live的临时文件。
删除C:\WINDOWS\system32\VErCLSiD.exe文件。
- 设置全局钩子，令91C7DF6D.dll注入所有进程。
结束杀软进程，删除杀软托盘图标和结束游戏进程。
- 创建键值：
hKey = HKEY_LOCAL_MACHINE
Subkey ＝”Software\microsoft\windows\currentversion\Explorer\shellexecutehooks”
Value name=”{91C7DF6D-AEF5-4136-9252-AF030D7A5931}”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Value date=”91C7DF6D.dll”
hKey = HKEY_CLASSES_ROOT
Subkey = "CLsID\{91C7DF6D-AEF5-4136-9252-AF030D7A5931}\InprocServer32"
Value name=”ThreadingModel”
Value date=”Apartment”
- 访问URL：http://www.y0uku1.com/cia/bike.asp
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
不错，学习一下
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
好奇的是干掉杀软的那一部分！
|
|
|
|
|
|
|
|
|
|
|
|
|
