|
病毒名称：Trojan.PSW.Win32.SunOnline.ab（瑞星）
病毒别名：Tojan-PWS.Win32.OnLineGames.uo（Kaspersky）
病毒大小：10994 bytes
加壳方式：UPACK, BINARYRES
样本MD5：7f84234d88df5a4ce372b465b4fb825a
样本SHA1：828a7ef284319d145c82003b9935634212c5268b
编写语言：Borland Delphi 6.0-7.0
行为分析：
病毒运行后，释放批处理C:\DeleteFileDos.bat，删除正常verclsid.exe系统文件
批处理内容：
@echo off
:Loop
attrib "C:\WINDOWS\SYSTEM32\VERCLSID.EXE" -r -a -s -h
del "C:\WINDOWS\SYSTEM32\VERCLSID.EXE"
if exist "C:\WINDOWS\SYSTEM32\VERCLSID.EXE" goto Loop
del %0 |
释放dll文件：
%System32%\Kvsc32.dll
注入系统explorer.exe和winlogon.exe进程，监视sungames.exe进程（奇迹世界），如发现则记录键盘击键和鼠标操作，以此盗密码等用户信息
病毒还会生成 %System32%\kvsc3.ini配置文件，记录病毒版本等信息
病毒添加以下注册表项，以达到随机启动的目的：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="Kvsc32.dll"
[HKEY_CLASSES_ROOT\CLSID\{54123FF1-8371-9834-9021-184518451FA5}\InProcServer32]
@="%System32%\Kvsc32.dll"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{54123FF1-8371-9834-9021-184518451FA5}"="%System32%\Kvsc32.dll" |
病毒修改以下注册表值，禁用系统自动更新功能：
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate]
"Start"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\AUOptions]
"Start"=dword:00000001
病毒添加以下注册表值，禁用系统防火墙：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall]
"Start"=dword:00000000 |
释放批处理删除自身
手动解决方法：
由于病毒注入了系统explorer.exe和winlogon.exe进程，监视注册表，推荐用冰刃(即IceSword120_cn.zip可到down.45it.com下载)。
1，用冰刃强制删除：
%System32%\Kvsc32.dll
2，用IS（IceSword120_cn.zip），进程――选中EXPLORER进程――右键:模块信息――强制卸除：
%System32%\Kvsc32.dll
3，删除文件：
%System32%\kvsc3.ini
4，删除以下注册表值（使用冰刃直接操作即可）：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall]
"Start"=dword:00000000
[HKEY_CLASSES_ROOT\CLSID\{54123FF1-8371-9834-9021-184518451FA5}\InProcServer32]
@="%System32%\Kvsc32.dll"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{54123FF1-8371-9834-9021-184518451FA5}"="%System32%\Kvsc32.dll"
5，编辑以下注册表键值为空：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=" "
6,修改以下注册表键值，建议开启自动更新：
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate]
"Start"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\AUOptions]
"Start"=dword:00000004
7，从别的电脑或恢复光盘等拷贝同版本系统的正常%System32%\verclsid.exe系统文件
|
