大话西游盗号trojan

《大话西游盗号trojan》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、大话西游盗号Trojan　　该样本是使用VC编写的盗号程序，由微点主动防御软件自动捕获，采用FSG加壳方式试图躲避特征码扫描，加壳后长度为19,701字节，图标为，病毒扩展名为exe，主要通过网页木马、文件捆绑的方式传播,病毒主要获取网络游戏《大话西游2》的账号和密码以及其它私人信息。　　病毒分析　　该样本程序被激活后，检测系统中是否有avp.exe进程存在，如果有则通过相关API函数将%systemroot%system32driversbeep.sys替换，修改文件属性为隐藏、系统，通过相关函数启动Beep服务加载驱动，加载成功后使用API函数DeleteFileA将驱动文件bee

2、p.sys删除，再将%systemroot%system32dllcachebeep.sys拷贝到%systemroot%system32drivers目录下；否则在%temp%目录下释放驱动tmp*.tmp，修改文件的属性为隐藏、系统；调用SCM写注册表项将tmp*.tmp注册成名为mhfp的服务，通过相关函数启动被注册的服务加载驱动，加载成功后使用API函数DeleteFileA将驱动文件tmp*.tmp删除，使用相关API函数将服务项dohs删除；　　Quote:　　项：HKLMSYSTEMCurrentControlSetServicesdohs　　键值：DisplayName

3、　　指向数据：dohs　　键值：ImagePath　　指向文件：??%temp%tmp*.tmp　　键值：Start　　指向数据：02　　在目录%temp%下释放动态库tmp*.tmp，修改文件属性为隐藏、系统；通过API函数LoadLibraryA将tmp*.tmp加载运行；动态库运行后拷贝自身到%systemroot%system32目录下，重命名为msosdohs**.dll；修改如下注册表键值使进程都自动加载动态库msosdohs**.dll；通过相关API函数获取动态库所在模块名称，与xy2.exe进行比较，如果是则通过读取其内存获取网络游戏账号和密码以及其它私人信息，通过H

4、TTP协议将木马所截获信息发送到黑客的收信空间中；　　Quote:　　项：HKLMSOFTicrosoft写注册表项将msosmsfpfis64.sys注册成名为msfpfis64的服务，通过相关函数启动被注册的服务加载驱动；以命令行的方式将病毒原程序删除。　　Quote:　　项：HKLMSYSTEMCurrentControlSetServicesmsfpfis64　　键值：DisplayName　　指向数据：msfpfis64　　键值：ImagePath　　指向文件：??%systemroot%system32driversmsosmsfpfis64.sys　　键值：Start　　

5、指向数据：02　　驱动beep.sys、tmp*.tmp、msosmsfpfis64.sys的作用是：钩取系统服务MDL，当由内存描述符表分配进程空间时，将msosdohs**.dll写入到每个新创建的进程空间中。　　安全提示　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现未知间谍软件，请直接选择删除处理；　　如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现Tro

6、jan-PSe.rpg，请直接选择删除。　　对于未使用微点主动防御软件的用户，微点反病毒专家建议：　　1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。　　2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。　　3、开启windows自动更新，及时打好漏洞补丁。友情提醒：，特别！