技术角度详尽解析梦幻西游盗号器126976

病毒名称(中文)：梦幻西游盗号器126976

威胁级别：★☆☆☆☆

病毒类型：偷密码的木马

病毒长度：19788

影响系统：Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为：

该病毒是一个木马盗号器，它会还原系统SSDT表，使一些声称具有“主动防御”的安全软件失效，然后盗取网络游戏《梦幻西游》的账号密码信息。

1.获取系统时间写文件，%sys32dir%\Update.dat。

2.打开服务"msfpfis64" "msp2p32","HBKernel"若存在，停止且删除服务。

3.创建 "\\.\slHBKernel"。

4.删除 "%sys32dir%\drivers\HBKernel.sys"。

5.若进程中有 "my.exe" 关闭。

6.FindWindowA "HBInject" 找到了发送WM_close。

7.删除 "%sys32dir%\HBInject.exe" "%sys32dir%\HBmhly.dll"。

8.CheckSumMappedFile校验资源里的文件释放到"%sys32dir%\drivers\HBKernel.sys"。

9.创建服务 "HBKernel" 并启动，回复SSDT。

10.创建 "\\.\slHBKernel"。

11.创建"%sys32dir%\HBmhly.dll"。

13.失败了在这里创建 "%tmp%\1.tmp"然后movefile到%sys32dir%\HBmhly.dll。

14.释放资源写文件 "%sys32dir%\HBInject.exe"。

15.失败了创建"%tmp%\2.tmp"（1.2.3.4....）然后movefile到%sys32dir%\HBInject.exe。

16.打开%sys32dir%\HBInject.exe。

17.创建HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HBService %sys32dir%\HBInject.exe

创建HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows AppInit_DLLs HBmhly.dll

18.创建 "%sys32dir%\SelfDel.dll"。

19.删除母体"rundll32.exe %sys32dir%\SelfDel.dll,MagicDelete HBInject.exe"。

20.卸载

检测运行参数是不是-u或者/u

创建"\\.\slHBKernel"

打开"HBKernel"服务存在删除

存在"%sys32dir%\drivers\HBKernel.sys"删除

若进程中有 "my.exe" 关闭

FindWindowA "HBInject" 找到了发送WM_close

存在删除 "%sys32dir%\HBInject.exe"和"%sys32dir%\HBmhly.dll"

21.调用SelfDel.dll的deletefile 没有删除成功休息100毫秒，循环删，共循环30次

22.发信地址

http://www.6***q1.cn/lan/mdb5postasp.asp
http://www.6***q2.cn/lan/mdb5postasp.asp
http://www.6***h1.cn/mdb5postasp.asp
http://www.6***h2.cn/mdb5postasp.asp