該病毒運行後，病毒衍生檔案到系統目錄下，連線某伺服器獲得要下載病毒的地址到本機運行。添加註冊表自動運行項與服務項以隨機引導病毒體。該病毒主要為盜取用戶遊戲賬號為主。包括征途、傳奇、QQ、熱血江湖等。
基本介紹
- 中文名： 武漢男生變種
- 外文名：Trojan-Dropper.Win32.Delf.or
- 公開範圍：完全公開
- 危害等級：中等
- 檔案長度：75,269位元組
- 病毒類型： 木馬類
- 檔案 MD5： DD26CCAD1848DE5663F0B8892EB4DAE5
- 感染系統： Win98以上系統
- 開發工具：Borland Delphi 6.0 - 7.0
- 命名對照：驅逐艦[BackDoor.Pegion.516]
行為分析,清除方案,
行為分析
衍生下列副本與檔案
%Windir%\ tembay.exe
%Windir%\ly.exe
%Windir%\my.exe
%Windir%\wanmei.exe
%Windir%\wl.exe
%System32%\1.exe
%System32%\2.exe
%System32%\Security.exe
%System32%\iexpl0re.exe
%System32%\userspi.dll
%System32%\wdfmgr32.exe
%System32%\windhcp.ocx
%System32%\winlogin.exe
%System32%\wsvbs.dll
%System32%\twunk32.exe
%System32%\dirvers\ usbme.sys
%System32%\dirvers\ spoclsv.exe
%ProgramFiles%\ Desktop_.ini
新建註冊表鍵值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\twin 鍵值: 字元串: "%WINDIR%\system32\twunk32.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\2ls1essru 鍵值: 字元串: "%WINDIR%\iexpiore.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wsvbs 鍵值: 字元串: "%WINDIR%\wanmei.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare
鍵值: 字元串: "%WINDIR%\system32\drivers\spoclsv.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\SymhMy
鍵值: 字元串: "%WINDIR%\system32\iexpl0re.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ServerAC\Description
鍵值: 字元串: "給予本地帳戶高級保護機制。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ServerAC\DisplayName
鍵值: 字元串: "Server Advance"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ServerAC\ImagePath
鍵值: 類型: REG_EXPAND_SZ 長度: 33 (0x21) 位元組
%WINDIR%\system32\Security.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinDHCPsvc\Description 鍵值: 字元串: "為遠程計算機註冊並更新 IP 地址。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinDHCPsvc\DisplayName 鍵值: 字元串: "Windows DHCP Service"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinDHCPsvc\ImagePath 鍵值: 類型: REG_EXPAND_SZ 長度: 52 (0x34) 位元組
%WINDIR%\system32\\rundll32.exe windhcp.ocx
獲得要下載的病毒體地址
連線某伺服器地址獲得要下載的病毒體地址：
(58.215.79.164)
(58.215.79.64)
GET /update/wormcn.txt
User-Agent: QQ
Host
wormcn.txt內容：
cq.exe
ly.exe
my.exe
rx.exe
wl.exe
wow.exe
zt.exe
wanmei.exe
dj.exe
kr/wikibay.exe
插入執行緒
windhcp.ocx 到 explorer.exe進程
userspi.dll 到 explorer.exe進程
wsvbs.dll 到 explorer.exe進程
註：% System%是一個：可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
spoclsv.exe
iexpl0re.exe
(2) 使用安天木馬防線禁用下列服務：
Server Advance
(3) 找到下列註冊表鍵值：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinDHCPsvc
ImagePath： %WINDdir\system32\\rundll32.exe windhcp.ocx,start
修改為:
ImagePath： %WINDdir\system32\\rundll32.exe
(4) 刪除下列檔案
%Windir%\ tembay.exe
%Windir%\ly.exe
%Windir%\my.exe
%Windir%\wanmei.exe
%Windir%\wl.exe
%System32%\1.exe
%System32%\2.exe
%System32%\Security.exe
%System32%\iexpl0re.exe
%System32%\userspi.dll
%System32%\wdfmgr32.exe
%System32%\windhcp.ocx
%System32%\winlogin.exe
%System32%\wsvbs.dll
%System32%\twunk32.exe
%System32%\dirvers\ usbme.sys
%System32%\dirvers\ spoclsv.exe
%ProgramFiles%\ Desktop_.ini
(5) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\twin 鍵值: 字元串: "%WINDIR%\system32\twunk32.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\2ls1essru 鍵值: 字元串: "%WINDIR%\iexpiore.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wsvbs 鍵值: 字元串: "%WINDIR%\wanmei.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare 鍵值: 字元串: "%WINDIR%\system32\drivers\spoclsv.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\SymhMy 鍵值: 字元串: "%WINDIR%\system32\iexpl0re.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ServerAC
註：病毒可能會導致用戶多次重啟，用戶可儘快嘗試刪除註冊表自動運行項。一段時間後即可按正常步驟刪除病毒檔案。
加殼類型: nSPack 2.1 - 2.5 -＞ North Star/Liu Xing Ping [Overlay]
ASPack 2.x (without poly) -＞ Alexey Solodovnikov
