U盤病毒 lhgjyit 新變種 20090120

upside

KAVO 已改名 還能叫 KAVO 嗎
lhgjyit 新變種 是目前新的名稱
當初的取名 也是因為 C:\WINDOWS\SYSTEM32\KAVO.EXE
這個名稱 而現在作者為避免被偵測故改名

行為分析

檔案生成
c:\autorun.inf
c:\i2.com
%System%\lhgjyit0.dll
%System%\lhgjyit2.dll
%System%\uret463.exe

加入新驅動
C:\WINDOWS\system32\drivers\klif.sys

新進程
uret463.exe

調用進程
lhgjyit2.dll %System%\lhgjyit2.dll  ==> explorer.exe
lhgjyit0.dll %System%\lhgjyit0.dll ==>  dllhost.exe
lhgjyit0.dll %System%\lhgjyit0.dll ==> IEXPLORE.EXE

增加新註冊表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
dorfgwe = "%System%\uret463.exe"

修改註冊表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
CheckedValue = 0x00000000

木馬下載器:
http://det67.com/xjj/cc1.rar %Temp%\cc1.rar

下載
C:\Documents and Settings\EWORLDCS\Local Settings\Temp\cc.exe

C:\WINDOWS\system32\kacsde.exe
C:\WINDOWS\system32\godert0.dll

然後下載 ff.exe
生成
C:\WINDOWS\system32\uret463.exe
C:\WINDOWS\system32\lhgjyit0.dll
C:\WINDOWS\system32\lhgjyit1.dll

註冊資料...
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<anhtaaa><C:\WINDOWS\system32\kacsde.exe>
<dorfgwe><C:\WINDOWS\system32\uret463.exe>

調用 explorer.exe 生成 autorun.inf 和 i2.com
C:\WINDOWS\system32\lhgjyit0.dll 調用 wuauclt.exe

sbbdms

CC FF
和我更新的Magania好相似…………

Kaspersky miss
TO KL

i2.com - Trojan-GameThief.Win32.Magania.atoi

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

>From: lovefuwa0411@qq.com
>Sent: Jan 20 2009  4:30PM
>To: "New Virus" <newvirus@kaspersky.com>
>Subject: virus
>
>
>
-----------
Regards, Ostroverkhov Vladimir
Virus Analyst, Kaspersky Lab.

Ph.: +7(495) 797-8700
E-mail: newvirus@kaspersky.com
http://www.kaspersky.com   http://www.viruslist.com

[ 本帖最后由 sbbdms 于 2009-1-20 21:35 编辑 ]

lingbo110120

TO ESET

upside

原帖由 sbbdms 于 2009-1-20 16:48 发表
CC FF
和我更新的Magania好相似…………

其實沒有錯 我看過大大的帖子
那些檔案 CC FF 其實就是 U盤病毒的下載檔
被執行後 就生成了 U盤病毒

The EQs

原帖由 sbbdms 于 2009-1-20 16:48 发表
CC FF
和我更新的Magania好相似…………

可惜连运行都运行不了。。。。。。。不知道弄这个干什么。。。。。。

sbbdms

怎么运行不了？虽然具体动作我不知道，不过生成了一堆文件是肯定的

The EQs

我是说这个帖子里面的cc1.rar

sbbdms

我刚刚下过了……77B……不知作者怎么搞的……

lingbo110120

我被漂咯  竟然不能运行

upside

你可以在實機下測試看看 過沒多久根目錄下就會有檔案生成
這毒被執行時會沒有反應 有時會發生執行錯誤的訊息
那是正常的

[ 本帖最后由 upside 于 2009-1-20 17:07 编辑 ]