传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决

您当前所在位置：首页 → 网络安全 → 病毒防治 → 传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决

传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决 时间：2015/6/28来源：IT猫扑网作者：网管联盟我要评论(0): 手动解决办法：

1.手动删除文件

"%SystemRoot%\system32\sysapp44.dll"
"%Temp%\1344322740.dat（文件名随机）"

2.用正常系统文件替换以下文件

"游戏目录\ksuser.dll"
"游戏目录\midimap.dll"
"游戏目录\msimg32.dll"
"%SystemRoot%\system32\ksuser.dll"
"%SystemRoot%\system32\midimap.dll"
"%SystemRoot%\system32\msimg32.dll"
"%SystemRoot%\system32\dllcache\ksuser.dll"
"%SystemRoot%\system32\dllcache\midimap.dll"
"%SystemRoot%\system32\dllcache\msimg32.dll"

变量声明：

　　%SystemDriver%　　　　　　　系统所在分区，通常为"C:\"
　　%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为"C:\Windows"
　　%Documents and Settings%　　用户文档目录，通常为"C:\Documents and Settings"
　　%Temp%　　　　　　　　　　　临时文件夹，通常为"C:\Documents and Settings\当前用户名称\Local Settings\Temp"
　　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为："C:\ProgramFiles"

病毒分析：

1.创建进程快照，查找并强制结束进程"Mir3.dat"。
2.获取系统缓存目录，创建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat（文件名随机）"，写入病毒数据。
3.查询注册表键值项"HKEY_LOCAL_MACHINE\SOFTWARE\SNDA\Mir3\path"、枚举注册表键"HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache"，查找有"传奇3客户端"字样的键值项，获取游戏安装路径。
4.删除文件"游戏目录\ksuser.dll"，如果删除失败则将该文件重命名为"游戏目录\TEM15.tmp"，并设重启删除，之后将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat"拷贝重命名为"游戏目录\ksuser.dll"。
5.以同样的方式将文件"游戏目录\midimap.dll"、"游戏目录\msimg32.dll"替换掉。
6.执行"net stop cryptsvc"、"sc config cryptsvc start= disabled"、"sc delete cryptsvc"等命令将系统数字签名验证服务删除。
7.获取系统目录，将文件"C:\WINDOWS\system32\ksuser.dll"拷贝重命名为"C:\WINDOWS\system32\yuksuser.dll"，删除文件"C:\WINDOWS\system32\ksuser.dll"，如果删除失败则将该文件重命名为"C:\WINDOWS\system32\TEM16.tmp"，并设重启删除，之后将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat"拷贝重命名为"C:\WINDOWS\system32\ksuser.dll"。以同样的方式删除文件"C:\WINDOWS\system32\dllcache\ksuser.dll"，并将"C:\WINDOWS\system32\ksuser.dll"拷贝重命名为"C:\WINDOWS\system32\dllcache\ksuser.dll"。
8.以同样的方式将文件"C:\WINDOWS\system32\midimap.dll"、"C:\WINDOWS\system32\msimg32.dll"、"C:\WINDOWS\system32\dllcache\midimap.dll"、"C:\WINDOWS\system32\dllcache\msimg32.dll"替换掉。
9.将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat"拷贝重命名为"C:\WINDOWS\system32\sysapp44.dll"。
10.创建新进程，执行"C:\WINDOWS\system32\rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat, ServerMain 病毒文件主程序"，将病毒文件自身删除。
11.病毒dll加载之后，加载正常的系统文件"C:\WINDOWS\system32\yu*.dll"，创建新线程，判断当前进程是否为"360Safe.exe"、"360Tray.exe"、"360sd.exe"，如果是则结束当前进程，如果当前进程为游戏进程则截取游戏账号密码等信息发送到指定的主机。

病毒创建文件：

"%Temp%\1344322740.dat（文件名随机）"
"游戏目录\ksuser.dll"
"游戏目录\midimap.dll"
"游戏目录\msimg32.dll"
"%SystemRoot%\system32\ksuser.dll"
"%SystemRoot%\system32\midimap.dll"
"%SystemRoot%\system32\msimg32.dll"
"%SystemRoot%\system32\sysapp44.dll"
"%SystemRoot%\system32\dllcache\ksuser.dll"
"%SystemRoot%\system32\dllcache\midimap.dll"
"%SystemRoot%\system32\dllcache\msimg32.dll"

病毒删除文件：

"游戏目录\ksuser.dll"
"游戏目录\midimap.dll"
"游戏目录\msimg32.dll"
"%SystemRoot%\system32\ksuser.dll"
"%SystemRoot%\system32\midimap.dll"
"%SystemRoot%\system32\msimg32.dll"
"%SystemRoot%\system32\dllcache\ksuser.dll"
"%SystemRoot%\system32\dllcache\midimap.dll"
"%SystemRoot%\system32\dllcache\msimg32.dll"
关键词标签：盗号木马

相关阅读

文章评论

查看所有0条评论>>