hxxp://www.AV46.com

显示全部楼层 · 发表于 2010-2-20 18:54:57

梦幻诛仙里老有人喊的网址，分析了下，果然是个毒网……

显示全部楼层 · 发表于 2010-2-20 19:32:47

AV

Virus: Trojan.Generic.3020046 (Engine A), Win32:Trojan-gen (Engine B)

Virus found while downloading Web content.

Address: www.av46.com

不知道杀了毒可以不可以继续........

显示全部楼层 · 发表于 2010-2-20 19:39:37

很是不健康，不过网盾没有报

显示全部楼层 · 发表于 2010-2-20 19:53:45

MPAV kill

显示全部楼层 · 发表于 2010-2-20 20:20:56

会下载个播放器.具体没分析.这种不健康网站还是少上.

显示全部楼层 · 发表于 2010-2-20 20:26:54

关于:hxxp://www.AV46.com/解密的日志(全体输出 -  2):

Level  0>http://www.AV46.com/
Level  1>http://www.av46.com/Player.exe ●

显示全部楼层 · 发表于 2010-2-20 20:29:02

回复 6# luxiao200888

不用解密的，进去网站直接就叫你下载……

显示全部楼层 · 发表于 2010-2-20 20:30:11

回复 7# angir

我是好孩子不进这种网站

显示全部楼层 · 发表于 2010-2-20 23:00:13

2010/2/20 22:58:30 已删除木马程序 Trojan-GameThief.Win32.WOW.imk G:\Temp\Virus\Player.rar/Player.exe

显示全部楼层 · 发表于 2010-2-21 12:02:22

本帖最后由 killwolf 于 2010-2-21 12:58 编辑

简单分析

主要生成文件：
C\Program Files\WLmhzx\gameclien.exe  19,456 字节木马程序
C:\WINDOWS\system32\mhzx.bat 50字节                启动木马程序的批处理
C:\WINDOWS\system32\mhzx.reg 312字节                注册表文件记录了启动信息
C:\WINDOWS\system32\mhzxin.bat 23字节             导入上面的注册表信息
C:\WINDOWS\system32\sougou.ime 32,768字节          盗号模块(文件名伪装，真正的搜狗拼音输入法模块是SogouPy.ime)
C:\WINDOWS\system32\Updata.exe 19,456字节          木马程序(和上面的木马程序一样的)

主要注册表改动：
用于启动木马程序
[HKEY_USERS\Sandbox_Administrator_test3\machine\software\microsoft\Active Setup\Installed Components\{12345678-b1gf-14d0-89bb-0090ce808666}]
"StubPath"="C:\\WINDOWS\\system32\\mhzx.bat"

用于注入盗号模块
[HKEY_USERS\Sandbox_Administrator_test3\machine\SYSTEM\ControlSet002\Control\Keyboard Layouts\E0210804]
"Ime File"="SOUGOU.IME"
"Layout File"="kbdus.dll"
几乎每个进程都会加载该伪拼音模块（这一点，木马处理得并不好）

程序类别：盗号木马
目标游戏：梦幻诛仙
启动方式：注册表(这种启动方式，很少有辅助工具能够检查到)
注入方式：利用imm32.dll进行输入法注入，能过很多网游公司的防御。之前有一种感染(替换、劫持)imm32.dll进行加载木马模块(列表)的方式，相比之下，各有优缺点，不做详细分析了。
木马评价：非常优秀的木马，

[其它] hxxp://www.AV46.com

评分