木马程序
trojan-psw. win32.wow.qzy
捕获时间
2011-07-12
危害等级
中
病毒症状
该样本是使用“vc ”编写的木马程序，由微点主动防御软件自动捕获，采用“upx”加壳方式，企图躲避特征码扫描，加壳后长度为长度为“36,240” 字节，图标为,病毒
扩展名为“.exe”，病毒主要通过“文件捆绑”、“下载器下载”，“网页挂马”等方式传播，病毒目的窃取用户计算机中信息，用户中毒后出现系统运行缓慢，出现未知进程。
感染对象
windows 2000/windows xp/windows 2003/windows vista/ windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。
如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”，请直接选择删除处理（如图1）
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"trojan-psw. win32.wow.qzy”，请直接选择删除（如图2）。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法：
1.手动删除以下文件%system32%\dbr0001.ocx
%system32%\new.dll
%system32%\1001.ocx
%system32%\dbr0002.ocx
%system32%\gbvgbv01.exe
%temp%\mhxy01.bat
%system32%\comres.dll
%system32%\ddraw.dll
%system32%\dsound.dll
%system32%\olepro32.dll
%system32%\ksuser.dll
2.修复系统文件
%system32%\comres.dll
%system32%\ddraw.dll
%system32%\dsound.dll
%system32%\olepro32.dll
%system32%\ksuser.dll
3.删除注册表
hkey_local_machine\system\controlset\control\keyboard layouts\e0200804\ime
键值: file 数据: dbr0002.ocx
hkey_local_machine\system\controlset\control\keyboard layouts\e0200804\layout
键值: file 数据: kbdus.dll
变量声明：
%systemdriver% 系统所在分区，通常为“c:\”
%systemroot% windodws所在目录，通常为“c:\windows”
%documents and settings% 用户文档目录，通常为“c:\documents and settings”
%temp% 临时文件夹，通常为“c:\documents and settings\当前用户名称\local settings\temp”
%programfiles% 系统程序默认安装目录，通常为：“c:\programfiles”
病毒分析：
1. 创建进程快照遍历是否有和自己同名的进程,有则结束进程。
2. 释放 %system32%\dbr0001.ocx(dll)并隐藏。
3. 释放恶意代码到%system32%\dsound.dll,%system32%\ddraw.dll,%system32%\comres.dll,%system32%\ksuser.dll,
%system32%\olepro32.dll, 实现对大多数游运行时需要的dll感染。
4. 创建进程快照，遍历查找进程"explorer.exe",如果找到则在此进程中创建远程线程，分配远程进程中的内存空间并插入病毒自身代码。
5. 释放%system32%\dbr0002.ocx(输入法dll)。
6. 复制文件%system32%rundll32.exe为%system32%gvbgvb01.exe。
7. 安装%system32%\dbr0002.ocx为ime,激活此ime并将它作为系统默认输入语言。安装键盘钩子,记录键盘输入并存入%system32%\1001.ocx 。
8. 释放%temp%\mhxy01.bat脚本文件(用于病毒主模块退出后删除病毒文件和自身)并运行。
9.病毒运行后向黑客发送计算机中的大量信息，导致用户个人隐私及重要信息泄露。
病毒创建文件：
%system32%\dbr0001.ocx
%system32%\new.dll
%system32%\1001.ocx
%system32%\dbr0002.ocx
%system32%\gbvgbv01.exe
%temp%\mhxy01.bat
病毒感染系统文件：
%system32%\comres.dll
%system32%\ddraw.dll
%system32%\dsound.dll
%system32%\olepro32.dll
%system32%\ksuser.dll
病毒创建注册表：
hkey_local_machine\system\controlset\control\keyboard layouts\e0200804\ime
键值: file 数据: dbr0002.ocx
hkey_local_machine\system\controlset\control\keyboard layouts\e0200804\layout
键值: file 数据: kbdus.dll
病毒删除文件：
病毒文件自身
%temp%\mhxy01.bat
%system32%\new.dll
