20CN网络安全小组论坛 - 病毒专区 - 新木马传奇密码终结者分析

论坛: 病毒专区标题: 新木马传奇密码终结者分析

作者: CyberSpy [cyberspy]

论坛用户

##传奇密码终结者Ver2.0  （又名传奇盗号工）##
作者主页：http://61.185.129.64/feng/index1.htm
软件简介：通过取得击键记录，正确截取传奇登陆区域、用户名、密码、服务器及修改密码、注册新用户里的所有信息并将其发送到指定信箱(在最新版本V2.0中能自行判断用户名及密码的准确性，能自动过滤私服、重复记录及更能有效的躲过防火墙)注册费用80：00元。免费提供常见文件合并器。免费升级!不会被任何杀读软件查杀不到的。1分钟发到邮箱。比起其他软件经济又实惠有意请与我联系或留言. (不买的请不要加我，谢谢合作）

前几天听朋友说过，今天手动看看啦~~

浅层次分析，没有涉及程序底层（没有进行反编译等）：
运行了LMir.exe或者Spying.exe之后：（两个运行后结果一样~，一个是守护进程）
-------------------------------------------------------
C:\WINDOWS\ 下：
  修改了msimgsiz.dat (有关ie的东)
        system.dat和user.dat(其实就是注册表啦~)
        win.ini
        win386.swp
  新增了lmir.exe
C:\WINDOWS\SYSTEM\ 下：
  新增了comir.exe,finalmir.exe,spying.exe
---------------------------------------------------------
由msconfig中来看：
修改了win.ini [windows]小节：run项值：由run= 改为了run=C:\WINDOWS\SYSTEM\Spying.exe

修改了system.ini [boot]小节：由shell=Explorer.exe改为了shell=Explorer.exe C:\WINDOWS\SYSTEM\Finalmir.exe

启动中添加了：Lmir C:\WINDOWS\Lmir.exe 一项
---------------------------------------------------------
注册表中来看：
被修改的键：
HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command\@
和HKEY_CLASSES_ROOT\txtfile\shell\open\command\@
Old value: "C:\WINDOWS\NOTEPAD.exe %1"
New value: "C:\WINDOWS\SYSTEM\Comir.exe %1"
(两个效果是一样的，修改了txt文件关联，当打开txt文件是自动运行comir.exe木马程序)
新增加的键：
HKEY_LOCAL_MACHINE\SOftware\Microsoft\Windows\CurrentVersion\RunServices\Lmir
value: "C:\WINDOWS\Lmir.exe"
(木马程序开机自启动运行)

#############################################################
综上分析：一款毫无新意的木马！！！很普通的截获击键记录的马儿！
（可能是我没有进行深入分析，也许它还有其他的秘密咯！）

手工清除：
  1、用优化大师等系统进程管理器杀掉LMIR.exe这个进程；
  2、开始-> 运行-> msconfig  根据以上分析修改win.in system.ini和启动项~ 提示重新启动，暂时不要重启；或者用系统配置编辑程序sysedit。exe修改这几处！
  3、找到comir.exe,finalmir.exe,spying.exe;彻底删除！
  4、开始-> 运行-> regedit  打开注册表根据以上分析修改txt文件关联，取消lmir自启动。（由于是关联txt文件，所以这里与前面几项的顺序关系不大，要素是关联exe文件则需要注意清除的顺序了哦）
搞定！！！

以上在win98 SE 通过。

                            CyberSpy   2003.01.04

[此贴被 CyberSpy(cyberspy) 在 01月11日17时21分编辑过]

地主发表时间: 2003-01-11 17:43:21

回复: gogolobaby [gogolobaby]

论坛用户

老大有够帅！！！！

B1层发表时间: 03/25 09:39

论坛: 病毒专区