网站首页  维修网点  QQ专家在线  电脑保修  工具软件   在线查毒   电脑问题搜索  官方论坛  站点地图  友情链接
 XML   RSS 2.0 
联盟点：北京   上海   深圳   广州   南京   杭州   成都   西安   厦门   武汉   重庆   天津   更多城市
加入收藏夹   设为主页

  认识电脑  

  电脑优化  

  电脑保养  

  故障症状  

  学习维修  

  维修资料  

  病毒门诊  

   数据恢复  

  使用技巧  

  电脑常识  

  笔记本  

  安全技术  

  系统漏洞  
专题导读： 操作系统　 Windows Vista系统故障　 Windows Xp系统故障　 Windows 2003系统故障　 Windows 2000系统故障　 Windows 98系统故障　 软件使用　 网络配置　 网络攻击　 病毒　 木马　 主板　 CPU　 内存　 硬盘　 键盘　 显卡　 声卡　 鼠标　 显示器　 音箱　 刻录机　 光驱、光盘　 电源、UPS　 网络设备　 扫描仪　 打印机　 其它硬件　 服务器　 游戏平台　 手机/MP3　 相机/摄像头　 USB　 无线应用教程　 软件漏洞　 硬件漏洞　
您的位置： 网站首页 >> 病毒门诊 >>超级BT木马下载器 Gameservet.exe的分析 game1.exe 8888-521ww.exe qjso.exe

超级BT木马下载器 Gameservet.exe的分析 game1.exe 8888-521ww.exe qjso.exe

发布日期: 2007-5-21 11:07:37 查看数:


转载PcHiHI


今天接到了一个叫Gameservet.exe的样本 测试了一下 测试结果真的让人震惊 这是个超级变态的木马下载器
当今流行的木马几乎都全了 而且最后还捣登出来个威金来 哎 现在的病毒都太厉害 那些无耻的制造病毒者 你们还让人活么？！
越来越多的这类案例提示：每个用户应该做好自己系统的防护。不能仅仅指望一两款杀软保护自己系统的安全。对于病毒，防远重于杀。by baohe

下面就说说测试过程：
File: Gameservet.exe
Size: 18432 bytes
MD5: BA4A429C23099F62EEE31699D5E920F8
SHA1: AA0713E2DEF90CE7A1FB4B49717ECE7CB2621C1D
CRC32: F68BFF78
加壳方式 UPX 0.89.6 - 1.02 / 1.05 - 1.24

运行后建立服务
WindowsGame

HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\Security\Security: 01 00 14 80 90 00 00 00 9C 00

00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01

00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00

18 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8D 01 02 00 01 01 00 00

00 00 00 05 0B 00 00 00 00 00 18 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01

00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\Type: 0x00000110
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\Start: 0x00000002
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\ErrorControl: 0x00000000
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\ImagePath: "C:\WINDOWS\system32\Gameservet.exe"
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\DisplayName: "Windows_Down"
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\ObjectName: "LocalSystem"
HKLM\SYSTEM\CurrentControlSet\Services\WindowsGame\Description: "Windows_Down"

下载http://w.xxxxxx.com/down/game1.exe～game13.exe
和http://w.xxxxxx.com/down/8888-521ww.exe到system32文件夹

8888-521ww.exe继续执行下载 下载servet.exe （又一个木马下载器）到system32文件夹
servet.exe下载http://www.xxxxx.cn/1.exe~15.exe到system32文件夹

所有的木马都植入成功后的sreng日志是这样的

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<msupdate><C:\WINDOWS\AntiAdwa.exe other> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<winform><C:\WINDOWS\winform.exe> []
<mppds><C:\WINDOWS\mppds.exe> []
<cmdbs><C:\WINDOWS\cmdbs.exe> []
<upxdnd><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\upxdnd.exe> []
<cmdbcs><C:\WINDOWS\cmdbcs.exe> []
<wosa><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\woso.exe> []
<qjsa><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\qjso.exe> []
<mhsa><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhso.exe> []
<intian><C:\WINDOWS\wintexe.exe> []
<load><C:\WINDOWS\uninstall\rundl132.exe> []
<testrun><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\testexe.exe> []
<Kvsc3><C:\WINDOWS\Kvsc3.exe> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<visin><C:\WINDOWS\system32\ctfnom.exe> [Microsoft Corporation]
<twin><C:\WINDOWS\system32\ctfnom.exe> [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{1496D5ED-7A09-46D0-8C92-B8E71A4304DF}><C:\WINDOWS\system32\msacn.dll> []

服务
[Windows User Mode Driver / UMWdfmgr][Stopped/Auto Start]
<rundll32.exe C:\WINDOWS\winamps.dll _start@16><N/A>
[Windows_Down / WindowsGame][Stopped/Auto Start]
<C:\WINDOWS\system32\Gameservet.exe><N/A>
[WinWMServiceNow / WinWMServiceNow][Stopped/Auto Start]
<C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\RAVWM.EXE><N/A>
[Windows_SysDown / WindowsDown][Stopped/Auto Start]
<C:\WINDOWS\system32\servet.exe><N/A>
驱动
[CelInDrv / CelInDrv][Stopped/Disabled]
<\??\C:\WINDOWS\system32\Drivers\CelInDriver.sys><N/A>
正在运行的进程
[PID: 696][C:\WINDOWS\system32\lsass.exe] [Microsoft Corporation, 5.1.2600.2180

(xpsp_sp2_rtm.040803-2158)]
C:\WINDOWS\system32\RAVWM506.dll] [N/A, ]
[PID: 852][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180

(xpsp_sp2_rtm.040803-2158)]
C:\WINDOWS\system32\fksdy.dll] [N/A, ]
C:\WINDOWS\system32\fdbohu.dll] [N/A, ]
C:\WINDOWS\system32\iakpsa.dll] [N/A, ]
[PID: 1392][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-

2158)]
C:\WINDOWS\system32\wscsv.dll] [N/A, ]
C:\WINDOWS\system32\fksdy.dll] [N/A, ]
C:\WINDOWS\system32\wgptl.dll] [N/A, ]
C:\WINDOWS\system32\wtrmm.dll] [N/A, ]
C:\WINDOWS\system32\hreax.dll] [N/A, ]
C:\WINDOWS\system32\mppds.dll] [N/A, ]
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\upxdnd.dll] [N/A, ]
C:\WINDOWS\system32\winform.dll] [N/A, ]
C:\WINDOWS\system32\cmdbs.dll] [N/A, ]
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\testdll.dll] [N/A, ]
C:\WINDOWS\system32\cmdbcs.dll] [N/A, ]
C:\WINDOWS\system32\wintdll.dll] [N/A, ]
C:\WINDOWS\winamps.dll] [N/A, ]
C:\WINDOWS\system32\fdbohu.dll] [N/A, ]
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\woso1.dll] [N/A, ]
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhso1.dll] [N/A, ]
C:\WINDOWS\system32\nwizAsktao.dll] [N/A, ]
C:\WINDOWS\system32\nwizqqfo.dll] [N/A, ]
C:\WINDOWS\system32\testdll.dll] [N/A, ]
C:\WINDOWS\system32\iakpsa.dll] [N/A, ]
C:\WINDOWS\system32\nwiztlbb.dll] [N/A, ]
C:\WINDOWS\system32\nwizhx2.dll] [N/A, ]


电脑已经被病毒 XX了
不过还好 安全模式没被破坏
而且所有的木马的技术含量似乎都没这么强
去掉启动 删除服务 然后删除文件就都OK 了

具体解决办法： （还是老一套咯，各位不要笑话哈）
如果发现此时很多exe被感染了 那可能就是那个威金搞的了 先下载威金专杀全盘杀毒吧

然后进入安全模式下(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)

打开sreng
启动项目 注册表 删除如下项目 (如果有哪项你认识或者确认不是病毒 请不要删除)
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<msupdate><C:\WINDOWS\AntiAdwa.exe other> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<winform><C:\WINDOWS\winform.exe> []
<mppds><C:\WINDOWS\mppds.exe> []
<cmdbs><C:\WINDOWS\cmdbs.exe> []
<upxdnd><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\upxdnd.exe> []
<cmdbcs><C:\WINDOWS\cmdbcs.exe> []
<wosa><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\woso.exe> []
<qjsa><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\qjso.exe> []
<mhsa><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhso.exe> []
<intian><C:\WINDOWS\wintexe.exe> []
<load><C:\WINDOWS\uninstall\rundl132.exe> []
<testrun><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\testexe.exe> []
<Kvsc3><C:\WINDOWS\Kvsc3.exe> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<visin><C:\WINDOWS\system32\ctfnom.exe> [Microsoft Corporation]
<twin><C:\WINDOWS\system32\ctfnom.exe> [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{1496D5ED-7A09-46D0-8C92-B8E71A4304DF}><C:\WINDOWS\system32\msacn.dll> []

“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：

[Windows User Mode Driver / UMWdfmgr][Stopped/Auto Start]
<rundll32.exe C:\WINDOWS\winamps.dll _start@16><N/A>
[Windows_Down / WindowsGame][Stopped/Auto Start]
<C:\WINDOWS\system32\Gameservet.exe><N/A>
[WinWMServiceNow / WinWMServiceNow][Stopped/Auto Start]
<C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\RAVWM.EXE><N/A>
[Windows_SysDown / WindowsDown][Stopped/Auto Start]
<C:\WINDOWS\system32\servet.exe><N/A>

在“启动项目”-“服务”-“驱动程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：

[CelInDrv / CelInDrv][Stopped/Disabled]
<\??\C:\WINDOWS\system32\Drivers\CelInDriver.sys><N/A>


双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件

（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
然后
清空 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp
删除C:\WINDOWS\system32\ctfnom.exe
C:\WINDOWS\system32\system文件夹
C:\WINDOWS\AntiAdwa.exe other
C:\WINDOWS\winform.exe
C:\WINDOWS\mppds.exe
C:\WINDOWS\cmdbs.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\wintexe.exe
C:\WINDOWS\uninstall\rundl132.exe
C:\WINDOWS\Kvsc3.exe
C:\WINDOWS\system32\ctfnom.exe
C:\WINDOWS\system32\msacn.dll
C:\WINDOWS\system32\nwizAsktao.dll
C:\WINDOWS\system32\nwizqqfo.dll
C:\WINDOWS\system32\testdll.dll
C:\WINDOWS\system32\iakpsa.dll
C:\WINDOWS\system32\nwiztlbb.dll
C:\WINDOWS\system32\nwizhx2.dll
C:\WINDOWS\winamps.dll
C:\WINDOWS\system32\Gameservet.exe
C:\WINDOWS\system32\servet.exe
C:\WINDOWS\system32\fksdy.dll
C:\WINDOWS\system32\fdbohu.dll
C:\WINDOWS\system32\iakpsa.dll
C:\WINDOWS\system32\wscsv.dll
C:\WINDOWS\system32\fksdy.dll
C:\WINDOWS\system32\wgptl.dll
C:\WINDOWS\system32\wtrmm.dll
C:\WINDOWS\system32\hreax.dll
C:\WINDOWS\system32\mppds.dll
C:\WINDOWS\system32\winform.dll
C:\WINDOWS\system32\cmdbs.dll
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\wintdll.dll
C:\WINDOWS\winamps.dll
C:\WINDOWS\system32\fdbohu.dll
C:\WINDOWS\system32\Drivers\CelInDriver.sys
C:\WINDOWS\system32\game1.exe~game13.exe(如果有的话)
C:\WINDOWS\system32\8888-521ww.exe(如果有的话)
C:\WINDOWS\system32\1.exe~15.exe(如果有的话)

最近此类木马下载器非常猖狂 一般会通过网站挂马传播 所以预防还是最重要的 请大家务必及时升级杀毒软件和防

火墙
打全系统补丁 防患于未然！


以上情况是本人测试所得，如需转帖，请注明作者（清新阳光）和出处 谢谢！

作者：newcenturymoon

来源于：http://forum.ikaka.com/topic.asp?board=28&artid=8312462

 


 

www.PcHiHI.com

上下页导航
上一页：一个坏事做绝的U盘病毒 MSInfo 41115BDD.dll 41115bdd.dat 下一页：能够修改电脑硬盘的分区表的木马
【打印】 字体 【大】 【中】 【小】 【关闭】
热点主题
彻底解决Trojan.PSW.QQPass病毒彻底解决Trojan.PSW.QQPass病毒
Trojan-psw.win32.onlineTrojan-psw.win32.online Games.es 病毒清除办法
auto.exe和autorun.inf查杀方法auto.exe和autorun.inf查杀方法
有争议的conime.exe有争议的conime.exe
sxs.dllsxs.dll sxs.exe病毒专杀工具及sxs.exe病毒手动删除方法
清除pctools.dll清除pctools.dll 新萌科技(上海)有限公司-垃圾广告
copy.exe病毒copy.exe病毒 硬盘双击打不开了
清除Svchost.exe清除Svchost.exe
手工删除update.exe病毒手工删除update.exe病毒
lsass.exe病毒的查杀方法,附专杀工具lsass.exe病毒的查杀方法,附专杀工具
ARP病毒临时解决方法ARP病毒临时解决方法
八步轻松清除desktop.ini病毒八步轻松清除desktop.ini病毒
~my1.tmp清除的最佳方法(cnwin和pctools)~my1.tmp清除的最佳方法(cnwin和pctools)
autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法
1.exe1.exe 2.exe 3.exe 4.exe 5.exe 6.exe 7.exe 8.exe病毒
解决EXE文件打不开的问题（4种方法）解决EXE文件打不开的问题（4种方法）
感染型病毒Trojan-Downloader.Win32.Delf.axl专杀修复工具感染型病毒Trojan-Downloader.Win32.Delf.axl专杀修复工具
TRojan.PSW.QQPASS病毒手把手彻底删除(winscok.exe,infostealer)TRojan.PSW.QQPASS病毒手把手彻底删除(winscok.exe,infostealer)
SVCHOST.EXE应用程序错误解决方法SVCHOST.EXE应用程序错误解决方法
威金蠕虫：所有的exe图标都变色变模糊威金蠕虫：所有的exe图标都变色变模糊
最新主题
如何映像劫持杀毒软件如何映像劫持杀毒软件
关于病毒主动防御的新见解关于病毒主动防御的新见解
木马容易盯上的注册表位置木马容易盯上的注册表位置
彻底清除无法显示隐藏文件的病毒彻底清除无法显示隐藏文件的病毒
Flash特务（Orz病毒）分析报告Flash特务（Orz病毒）分析报告
利用FLASH漏洞传播的对抗型“特务病毒”出现利用FLASH漏洞传播的对抗型“特务病毒”出现
如何预防ARP病毒以及做好个人电脑病毒防护如何预防ARP病毒以及做好个人电脑病毒防护
用最简单的方法摆脱病毒的纠缠用最简单的方法摆脱病毒的纠缠
提升权限提升权限 把无法删除病毒扫地出门
Troj.6to4ex恶意软件的清除Troj.6to4ex恶意软件的清除
AdobeAdobe flash漏洞,请尽快将Flash Player升级到9.0.124
不同情况下病毒查杀技巧不同情况下病毒查杀技巧
在系统里对U盘写保护防毒在系统里对U盘写保护防毒
win32.virut病毒的清除方法win32.virut病毒的清除方法
当病毒囚禁了输入法当病毒囚禁了输入法
教你识别危险进程教你识别危险进程
完美解决双击无法打开C、D、E、F盘等Autorun病毒完美解决双击无法打开C、D、E、F盘等Autorun病毒
MIDI机器狗MIDI机器狗
网络资源推荐
站务联系:XBell@163.com 在线QQ：573861490
备案序号:粤ICP备06093858号
版权所有 2006 电脑维修知识网 最佳分辨率 1024 X 768
Copyright © Http://www.PcHiHi.com/ All rights reserved.