海色の月

档案编号：CISRT2007099
病毒名称：Trojan-PSW.Win32.OnLineGames.tn（Kaspersky）
病毒别名：Trojan.PSW.Win32.OnlineGames.dfz（瑞星）
　　　　　 Win32.PSWTroj.OnLineGames.tn.86016 [exe]（毒霸）, Win32.Troj.OnlineGames.ny.126976 [dll]（毒霸）
病毒大小：27,967 字节
加壳方式：UPack
样本MD5：d37bea844c36c786fa6136ffd283cf8a
样本SHA1：6939b106bb146fb7194c01e9c14ec036672a8565
发现时间：2007.7
更新时间：2007.7.10
关联病毒：
传播方式：通过恶意网页传播、其它木马下载


技术分析
==========

木马运行后释放dll到系统目录：
%System%\Agent.dll
创建副本：
%System%\gfdwq.bbr
%System%\adapi32.dll
%System%\aetpksw.dll
%System%\hytsx.dll
%System%\wiytd.dll
%System%\wkjhl.dll
%System%\wljhj.dll
%System%\wlkhm.dll
%System%\zeqax.dll
并将这些dll注入进程。

使用批处理%System%\$$tmp.bat删除原文件：

复制内容到剪贴板

代码:

:l1
del "{原文件}"
if exist "{原文件}" goto l1
del "%System%\$$tmp.bat"
cls
exit

创建ShellExecuteHooks启动项：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{D8E0E3BA-D55F-4A08-8EE4-0A59E0284124}"=""

[HKEY_CLASSES_ROOT\CLSID\{D8E0E3BA-D55F-4A08-8EE4-0A59E0284124}]
@="Microsoft Data Tools Query Designe"

[HKEY_CLASSES_ROOT\CLSID\{D8E0E3BA-D55F-4A08-8EE4-0A59E0284124}\InProcServer32]
@="%System%\Agent.dll"

并不断重写该注册表信息。

另外，木马在注册表[HKEY_CURRENT_USER\Windows]位置写入了同[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]位置相同的信息。


清除步骤
==========

1. 重命名木马文件：
%System%\Agent.dll

2. 重新启动计算机

3. 删除重命名过的木马文件：
%System%\Agent.dll

4. 删除其它木马副本：
%System%\gfdwq.bbr
%System%\adapi32.dll
%System%\aetpksw.dll
%System%\hytsx.dll
%System%\wiytd.dll
%System%\wkjhl.dll
%System%\wljhj.dll
%System%\wlkhm.dll
%System%\zeqax.dll

5. 删除ShellExecuteHooks启动项：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{D8E0E3BA-D55F-4A08-8EE4-0A59E0284124}"

[HKEY_CLASSES_ROOT\CLSID\{D8E0E3BA-D55F-4A08-8EE4-0A59E0284124}]

6. 删除木马创建的注册表信息：

复制内容到剪贴板

代码:

[HKEY_CURRENT_USER\Windows]

发布时间：2007-07-16 17:35