首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

病毒釋放者程序Trojan-Dropper.Win32.Vedio.qy

病毒釋放者程序

Trojan-Dropper.Win32.Vedio.qy

捕獲時間

2011-03-07

危害等級



病毒癥狀

      該樣本是使用“VC ”編寫的“病毒釋放者”程序,由微點主動防御軟件自動捕獲,長度為“24,576 字節”,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的是釋放病毒,盜取網絡游戲QQ三國賬號和密碼等信息。
  用戶中毒后,可能會出現計算機無故重啟、關閉,重要文件丟失,系統及網絡緩慢、程序無故關閉等導致用戶隱私泄露及影響用戶使用的現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-Dropper.Win32.Vedio.qy”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒




未安裝微點主動防御軟件的手動解決辦法:

1、手動刪除以下文件:

%ProgramFiles%\Common Files\System\kb654235.dmp
游戲安裝目錄\dbghelp.bet
%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll

2、手動更改以下文件 :

%SystemRoot%\system32\dsound.dll.sycg
%SystemRoot%\system32\dllcache\dsound.dll.sycg
分別改名為
%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll

變量聲明:

%SystemDriver%         系統所在分區,通常為“C:\”
%SystemRoot%          系統所在目錄,通常為“C:\Windows”
%Documents and Settings%    用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%             臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%         系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

1、病毒運行后,首先提高自身進程權限;
2、創建進程快照,遍歷進程查找QQsg.exe、liveupdate進程(兩個進程為QQ三國進程),如果找到,則結束這兩個游戲進程;
3、在臨時文件夾目錄%Temp%下釋放動態鏈接庫文件kb654235.sve(隨機名);
4、如果找到游戲進程,通過查詢以下注冊表項,用于獲得"QQ三國"游戲安裝目錄:
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache,獲取游戲目錄之后,將%Temp%\kb654235.sve文件復制到游戲目錄下,并更名為dbghelp.bet;
5.查看目錄C:\Program Files\Common Files\System是否存在,如果不存在則創建該目錄,如果存在,會將%Temp%\kb654235.sve復制到該目錄下并重命名為kb654235.dmp,并設置文件屬性為隱藏;
6、查找系統文件%SystemRoot%\system32\dsound.dll,復制該文件為dsound.dll.dat,從kb654235.sve文件中讀取惡意代碼寫入dsound.dll.dat,為該文件添加惡意代碼區塊.text8;
7、調用sfc_os.dll的#5函數解除對系統文件的保護;
8、將正常系統文件%SystemRoot%\system32\dsound.dll移動為%SystemRoot%\system32\dsound.dll.sycg(隨機名);%SystemRoot%\system32\dllcache\dsound.dll移動為dsound.dll.sycg,然后將被感染的dsound.dll.dat復制到%SystemRoot%\system32\dllcache\目錄下并重命名為dsound.dll,然后將%SystemRoot%\system32\dsound.dll.dat移動為%SystemRoot%\system32\dsound.dll;
9、刪除%Temp%\kb654235.sve,并創建批處理文件%Temp%\tempVidio.bat,該批處理刪除病毒源文件和批處理自身;
10、QQ三國游戲運行過程中,會調用被病毒感染的dsound.dll,用以盜取用戶用戶名和密碼;
  
病毒創建文件:

%Temp%\kb654235.sve
%ProgramFiles%\Common Files\System\kb654235.dmp
游戲安裝目錄\dbghelp.bet
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.sycg
%SystemRoot%\system32\dllcache\dsound.dll.sycg
%Temp%\tempVidio.bat

病毒感染文件:

%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll

病毒刪除文件:

%Temp%\kb654235.sve
%Temp%\tempVidio.bat

免費試用
下  載
安裝演示

今晚3d预测号码一注