查杀:inst.exe,Setup.exe,Backdoor/Agent.apnf

Simen.Resh@d

作者：Greysign

一、 病毒标签：
病毒名称： Trojan-PSW.Win32.Magania.cjy
病毒类型： 木马

文件大小 :   271846 byte
文件类型 :   MS-DOS executable (EXE), OS/2 or MS Windows
MD5 :   17a839d88ef1419fda4d72db386cffae
SHA1 :   6be004a99020c3f7c82228e92738d220ee9954d3
公开范围： 完全公开
危害等级： C
加壳类型： NsPack 1.4
命名对照：  

江民杀毒 10.00.650  Backdoor/Agent.apnf 1.395
NOD32 2.70.10  a variant of Win32/PSW.OnLineGames.NFF trojan 4.185

二、 病毒描述：
该病毒为玛格尼亚病毒的新变种，释放一个DLL通过挂钩和内存截获来盗取网络游戏的帐号密码。运行之后将释放一些AV图片并打开，再释放病毒到Program Files与WINDOWS\Help目录下。


三、 行为分析
运行以后释放文件：
c:\Program Files\inst.exe
  Date: 11-29-2007 11:00 PM
  Size: 103,163 bytes
c:\Program Files\inst.txt
  Date: 11-29-2007 10:44 PM
  Size: 0 bytes
c:\Program Files\Setup.exe
  Date: 12-28-2007 2:41 PM
  Size: 76,388 bytes
c:\Program Files\MyPic\2006924192650605.jpg
  Date: 7-19-2007 6:28 AM
  Size: 7,613 bytes
c:\Program Files\MyPic\2006924192732323.jpg
  Date: 7-19-2007 6:28 AM
  Size: 7,649 bytes
c:\Program Files\MyPic\2006924192810432.jpg
  Date: 7-19-2007 6:28 AM
  Size: 7,598 bytes
c:\Program Files\MyPic\2006924192810821.jpg
  Date: 7-19-2007 6:28 AM
  Size: 13,258 bytes
c:\Program Files\MyPic\2006924192810918.jpg
  Date: 7-19-2007 6:28 AM
  Size: 7,702 bytes
c:\WINDOWS\1.bat
  Date: 1-4-2008 1:06 PM
  Size: 96 bytes
c:\WINDOWS\Help\F3C74E3FA248.dll
  Date: 1-4-2003 1:06 PM
  Size: 60,928 bytes
c:\WINDOWS\Help\F3C74E3FA248.exe
  Date: 12-28-2007 2:41 PM
  Size: 76,388 bytes
图片均为AV图片。


释放问后运行
c:\WINDOWS\Help\F3C74E3FA248.dll
c:\WINDOWS\Help\F3C74E3FA248.exe
盗取游戏帐号密码。


建立服务进行开机启动：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks "{1DBD6574-D6D0-4782-94C3-69619E719765}"
  Type: REG_SZ
  Data: c:\WINDOWS\Help\F3C74E3FA248.dll


解决方案：
删除文件：
c:\Program Files\inst.exe
c:\Program Files\inst.txt
c:\Program Files\Setup.exe
c:\Program Files\MyPic\2006924192650605.jpg
c:\Program Files\MyPic\2006924192732323.jpg
c:\Program Files\MyPic\2006924192810432.jpg
c:\Program Files\MyPic\2006924192810821.jpg
c:\Program Files\MyPic\2006924192810918.jpg
c:\WINDOWS\1.bat
c:\WINDOWS\Help\F3C74E3FA248.dll
c:\WINDOWS\Help\F3C74E3FA248.exe


删除注册表服务启动项目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{1DBD6574-D6D0-4782-94C3-69619E719765}



--------------------------------------------------------------------------------

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%   = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
     %Windir%\       WINDODWS所在目录
%DriveLetter%\    逻辑驱动器根目录
%ProgramFiles%\    系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录


A级
大面积感染流行，并具有以下条件中的任意一个给网络造成严重压力、开有后门、反制AV技术。
B级
有一定的感染流行面积，或者有鲜明的技术特点值得进一步关注，或为既往A级蠕虫比较成熟的变种
C级
有少量感染流行，或虽然有一定感染流行面积，但是既往B级蠕虫变种。
D级
有极少量感染流行，但有一定潜在威胁。
E级
没有发现感染流行。

SiMen.Ateman

从来没中过病毒呢````不懂

Xx'

知道中毒的时候就晚了.