安全响应·Security
病毒分析报告·Report

Trojan-PSW.Win32.Maran.cj分析

出处：安天实验室 时间：2007-05-16 10：00

病毒标签：

病毒名称： Trojan-PSW.Win32.Maran.cj
中文名称： 马瑞恩盗号者
病毒类型： 木马类
文件 MD5： 2A08461A388D581B5E24E60828B7DB6C
公开范围： 完全公开
危害等级： 4
文件长度： 48,525 字节
感染系统： Win9X以上系统
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： Upack 2.4 - 2.9 beta -> Dwing
命名对照： BitDefender[Generic.Malware.FB.078A76C8]
　　　　　 NORMAN[Security Risk W32/Suspicious_U.gen]

病毒描述：

　　该病毒运行后，衍生病毒文件到系统目录下。修改用户 LSP项以实现病毒启动。病毒体注入
系统进程中获取用户敏感信息发往指定页面。

行为分析：

1 、衍生下列副本与文件：

　　　　%WinDir%\ tl32v20.dll
　　　　%WinDir%\svchost.exe
　　　　%System32%\ tj7viewer.dll

2 、新建注册表键值：

　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2\
　　　　Parameters\Protocol_Catalog9\Catalog_Entries\000000000013\PackedCatalogItem
　　　　Value: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　%WINDOWS%\System32\tj7viewer.dll.
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2\
　　　　Parameters\Protocol_Catalog9\Catalog_Entries\000000000012\PackedCatalogItem
　　　　Value: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　%SystemRoot%\system32\mswsock.dll.���

3 、修改下列注册表键值：

　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2\
　　　　Parameters\Protocol_Catalog9\Catalog_Entries\000000000001\PackedCatalogItem
　　　　New: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　%WINDOWS\System32\tj7viewer.dll.
　　　　Old: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　%SystemRoot%\system32\mswsock.dll.

4 、插入病毒体 svchost.exe 到所有系统进程中。

5 、病毒发送用户名与密码信息到某 PHP 页面中，格式如下：

　　　　http://XXX.com/logger.php

6 、病毒内发送与接收 emai 为用户自设，不固定。

7 、启动方式为通过改变 LSP 实现，也可设为 ActiveX 启动方式。

注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt\System32 ， windows95/98/me 中默认的安装路径是 C:\Windows\System ， windowsXP 中默认的安装路径是 C:\Windows\System32 。

清除方案：
 

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 　 (1) 使用安天木马防线断开网络，结束病毒进程：
　　　　　　　%WinDir%\svchost.exe
　 　 (2) 删除并恢复病毒添加与修改的注册表键值：
　　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　　Services\WinSock2\Parameters\Protocol_Catalog9\
　　　　　　　Catalog_Entries\000000000013\PackedCatalogItem
　　　　　　　Value: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　　　　%WINDOWS%\System32\tj7viewer.dll.
　　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　　Services\WinSock2\Parameters\Protocol_Catalog9\
　　　　　　　Catalog_Entries\000000000012\PackedCatalogItem
　　　　　　　Value: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　　　　%SystemRoot%\system32\mswsock.dll
　　　　　　　恢复下列为旧值 :
　　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　　Services\WinSock2\Parameters\Protocol_Catalog9\
　　　　　　　Catalog_Entries\000000000001\PackedCatalogItem
　　　　　　　New: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　　　　%WINDOWS\System32\tj7viewer.dll.
　　　　　　　Old: Type: REG_BINARY Length: 888 (0x378) bytes
　　　　　　　%SystemRoot%\system32\mswsock.dll.
　 　 (3) 删除病毒释放文件：
　　　　　　　%WinDir%\ tl32v20.dll
　　　　　　　%WinDir%\svchost.exe
　　　　　　　%System32%\ tj7viewer.dll

附：
 


点击此处下载木马防线2005+

病毒上报信箱: submit@virusview.net
[TOP]