盗号木马Trojan-PSW.Win32.OnLineGames.cbbf(kncer32.exe)

该样本是使用“Dephi”编写的“盗号木马”，由微点主动防御软件自动捕获，采用“Nspack”加壳方式试图躲避特征码扫描,加壳后长度为“21,503 字节”，图标为 使用“exe”扩展名，通过“网页木马”、“下载器下载”等多种途径植入用户计算机，运行后伺机盗取网络游戏 “热血传奇”的“帐号”和“密码”。

　　病毒分析

　　该样本程序被执行后，遍历进程查找“kncer32.exe”，找到后将其结束；拷贝自身到目录%SystemRoot%system32下并重命名为“kncer32.exe”，修改属性为“系统”、“隐藏”，使用API函数CreateProcessA运行曾释放的文件kncer32.exe（注释：杀掉同类木马行为）；在同一目录下释放动态库文件“kncer32.dll”，修改如下注册表健值实现自启动，后执行自删除。

　　Quote:

　　项：

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun

　　键值：kcien32

　　指向数据：kncer32.exe

　　病毒主程序运行后添加debug特权，遍历进程查找“svchost.exe”，申请内存空间将动态库“kncer32.dll”写入，使用远程线程在“svchost.exe”进程空间内开启一病毒线程以逃避杀毒软件查杀，遍历当前进程查找“360tray.exe”，使用相关API函数使其结束。

　　动态库“kncer32.dll”加载运行后根据类名“FFEIRTMIR”查找游戏“热血传奇”的窗口，找到后病毒弹出如下窗口对用户进行欺骗：

　　Quote:

　　“提示：为保护帐号安全，请您验证帐号身份信息”

　　“提示：反外挂测试中，请输入动态密宝。”

　　诱使用户输入，盗取用户“账号”、“密码”信息，以“收信空间”的方式把所获信息发送到http://www.806199.cn/quake/a.asp；同时调用API函数URLDownloadToFileA从网上下载其他病毒至临时文件夹并执行。

　　安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”，请直接选择删除处理；

　　如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-PSW.Win32.OnLineGames.cbbf”，请直接选择删除。

　　对于未使用微点主动防御软件的用户，微点反病毒专家建议：

　　1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。

　　2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。

　　3、开启windows自动更新，及时打好漏洞补丁。