"梦中情人sbl"新变种"snow.exe,snowfall.exe"的分析

清新阳光

原创非首发，转载请注明作者：清新阳光  ( http://hi.baidu.com/newcenturysun)
样本来自卡饭，此病毒即原先分析过的sbl.exe系列的变种
6 _+ z2 C- `) W0 L* f% Q
File: AnHao.exe
. ~6 z4 k/ ?& T! F+ e: RSize: 35840 bytes
File Version: 6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)
Modified: 2007年10月28日, 12:34:23
MD5: 53E349555372ADE49D4FF6C195DCEF5C
SHA1: E11B37AF59B6D4B5C64BB0DB600B7AC51D3F3226
CRC32: 1E49FEA3

+ q+ k5 X3 n" E5 h技术细节：
! v' Z2 G3 \$ m: i5 }
1、释放病毒副本：
$ i) c) u# C* d8 `& h; A3 h%systemroot%\system32\1.inf
/ N' D, w' z" Z4 y0 V%systemroot%\system32\forget.dll
3 N2 C- a' S& y9 T. p%systemroot%\system32\snowfall.exe
检测各个分区根目录下是否有autorun.inf的文件或者文件夹，如果有则将其改名为AnHao
然后在各个分区释放autorun.inf和snow.exe达到通过U盘传播的目的
. g7 [4 W1 H- y6 \并每隔9s检测是否存在，如不存在，则重写
) c0 I! `& l" O5 R  Y! d%systemroot%\system32\1.inf与autorun.inf内容相同

$ T- U/ Q+ |+ K$ n) G+ h( j& g2.调用cmd.exe 执行cmd.exe /c net stop sharedaccess的命令 关闭Windows自带的防火墙
$ J* ?( S1 h5 O& U1 m; u' E8 v
3.调用TerminateProcess函数关闭如下进程
0 _0 ]$ B* u) J: F0 C, i( P% L360safe.exe
360tray.exe

9 C, t9 S9 b! i# Y9 P9 L4.提升自身权限，关闭avp.exe的句柄
0 W+ B9 {* n, G$ x! |% ]
( n% u- W4 G5 @0 d5.调用FindWindowTextA函数查找窗口标题，并通过PostMessageA函数发送WM_CLOSE,WM_DESTROY,WM_QUIT的消息关闭带有如下字样的窗口
防火墙
) E8 C& E& k  v6 g2 X$ O( Y任务管理器
木马清道夫
/ Q+ y) X2 O# ?8 U- y木马克星
超级巡警
主线程
NOD32核心
9 t! s& U) f6 @- x微点
安全卫士
木马杀客
: i: `3 B. z8 VNOD32 内核
杀毒
江民
金山
& J: n( x$ ~! N/ J+ R- M0 D' D
6.在HKLM\software\microsoft\windows NT\currentversion\image file execution options下面添加项目映像劫持以下杀毒软件和安全工具
# D# u+ L+ d! A, S9 v& b" q3 A360rpt.exe
360Safe.exe
0 g* f% F0 t2 c+ w' x360tray.exe
adam.exe
, l. J3 f( ?/ R' jAgentSvr.exe
AppSvc32.exe
, @' D: C( [$ t; b/ Aautoruns.exe
avgrssvc.exe
AvMonitor.exe
avp.com
2 x3 M8 n$ S* |avp.exe
CCenter.exe
ccSvcHst.exe
FileDsty.exe
2 f$ Y# S* ?* V  z4 T% [- \2 _/ rFTCleanerShell.exe
HijackThis.exe
IceSword.exe
2 y/ n% H& U0 O  o! e+ W& ^iparmo.exe
8 K! d  v! W' F* R& T0 q+ y% vIparmor.exe
isPwdSvc.exe
" f7 l9 {/ J5 i5 \  ]: A( Jkabaload.exe
+ ]$ V  V" _* ^" q" JKaScrScn.SCR
0 c$ v" S* e: R$ C" mKASMain.exe
6 V9 `! ]+ r5 L  FKASTask.exe
/ `+ m% q( s2 A+ p; [  BKAV32.exe
KAVDX.exe
+ c8 c+ K8 K- {: ]+ \  K! mKAVPFW.exe
9 T1 h, H# L" P6 b, {6 J) I8 uKAVSetup.exe
4 w8 W, ?& \2 [7 z' Y7 F- FKAVStart.exe
KISLnchr.exe
KMailMon.exe
$ {# c& s+ X/ m1 \( q* ~* p# d1 hKMFilter.exe
3 @; w+ x2 s6 WKPFW32.exe
KPFW32X.exe
8 G( ^* b4 x' ]; x& KKPFWSvc.exe
1 e- _. y: L. r4 g7 wKRegEx.exe
% T0 }4 Y( [# B& T6 OKRepair.COM
- n' k. I  ]1 P$ B  }0 S. D# _$ j2 wKsLoader.exe
KVCenter.kxp
' O. D+ [/ H3 c. t5 K6 ^KvDetect.exe
$ {2 u5 H& ?/ O3 P" G- X( bKvfwMcl.exe
, j/ x! j5 t3 Z2 n: F' g! FKVMonXP.kxp
3 o+ z4 j: i5 L, L- h: V; HKVMonXP_1.kxp
1 A' \0 X, J& q; W* g7 ukvol.exe
) [# p2 F. r* C$ V. N' G& ?  ukvolself.exe
KvReport.kxp
, S6 i0 [# ~" D) MKVSrvXP.exe
6 S! ?4 x) t& `KVStub.kxp
kvupload.exe
kvwsc.exe
' `" i6 Q' ?# L3 X' jKvXP.kxp
: U9 t8 s, |! Y3 h: A. QKWatch.exe
KWatch9x.exe
KWatchX.exe
loaddll.exe
( V  W( y5 V, @  v7 d/ G3 k5 W- l: ~MagicSet.exe
mcconsol.exe
mmqczj.exe
  u( U& v9 l, ?, xmmsk.exe
NAVSetup.exe
4 W) [4 i( S/ k+ wnod32krn.exe
nod32kui.exe
PFW.exe
PFWLiveUpdate.exe
" g. K: i! h9 c$ e3 J' w6 dQHSET.exe
Ras.exe
Rav.exe
$ U1 k, K9 C1 [* M6 _# zRavMon.exe
3 \/ |! {. R. G) P+ N" xRavMonD.exe
RavStub.exe
9 T" n9 G; @" G5 f3 _# Q0 jRavTask.exe
8 @* ~! C. i5 jRegClean.exe
/ g' s& O7 d, _" prfwcfg.exe
7 F# H5 C8 t" uRfwMain.exe
1 S' S  F8 [' M5 x/ orfwProxy.exe
) }; R8 ~* h% T% G, v  P) arfwsrv.exe
+ ]3 T4 i& U: O4 |. J4 VRsAgent.exe
Rsaupd.exe
$ Z! I( q5 [! A1 \& M, r# Cruniep.exe
safelive.exe
scan32.exe
2 L' z* K# a  W7 u9 s. _5 G# {" vshcfg32.exe
8 a; x/ R: c, ^$ S7 NSmartUp.exe
SREng.exe
symlcsvc.exe
* H) Q3 u! [; x& X# {SysSafe.exe
4 X+ N6 _5 U# U! V. E, iTrojanDetector.exe
, L* M0 f9 Q0 }9 A" ~Trojanwall.exe
TrojDie.kxp
UIHost.exe
4 d2 V- }  i0 x5 o% ^, r7 T8 [7 UUmxAgent.exe
UmxAttachment.exe
& [1 H: ^# W: e5 E( Y. H5 eUmxCfg.exe
UmxFwHlp.exe
' B( f5 k; u% o3 gUmxPol.exe
( I' p3 i& f" {6 l- c% ?* FUpLive.EXE
WoptiClean.exe
zxsweep.exe
) Y4 k! T, e8 `9 [* q7 a  _& f
7.调用CreateProcess打开进程%systemroot%\system32\spoolsv.exe，把%systemroot%\system32\forget.dll注入到spoolsv.exe中，并调用
9 H% b+ U( L$ ~( H) \; }! k+ zurlmon.dll实现下载功能
& n- w0 ^* _) Z) b* j) R# C下载http://www.hackceo.com/ts.jif到c:\a.exe
http://www.hackceo.com/ts.jpg到c:\b.exe
http://www.hackceo.com/ts.rar到c:\c.exe
但下载链接均已失效，无法判断是什么病毒...
4 t% h; K/ P4 C  p0 X4 Q. Z( u3 R
8.病毒体内有字样“mylovegirlsbl”

解决办法：
下载冰刃：
: S" [0 H& v0 }& w4 ehttp://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip
sreng：
http://download.kztechs.com/files/sreng2.zip

1.解压缩冰刃
把冰刃的Icesword.exe改名为1.com
' x$ O, Q& t' \7 k切换到进程一栏 找到%systemroot%\system32\snowfall.exe
8 \* n7 h, S& {- H' P; ]右键 结束进程

$ M4 U# v" |5 S& ~
2.（还是在冰刃中）点击左下角的文件按钮
找到如下文件 删除之
%systemroot%\system32\1.inf
/ s; w( v  x2 ~% ?% a8 g. h%systemroot%\system32\forget.dll
7 Z8 T- ]" ?6 D6 B4 w  U) G' y%systemroot%\system32\snowfall.exe
9 _: Y1 q1 E4 ~' C  ~并删除各个分区下面的snow.exe和autorun.inf(不要忘记)

% B% A$ j1 U( ?3.把sreng.exe改名为2.com，运行
启动项目 注册表
$ s/ L9 Y% r+ [4 F6 w; ~; _; t% g删除所有红色的IFEO映像劫持项目

0 ~$ E5 j8 P8 P1 L7 G9 @
PS:从拿到第一个版本的sbl到现在这个版本，病毒作者逐渐添加了各种功能，从关闭窗口到现在流行的映像劫持，同时也发现了作者的一些内心情感变化，从先前的“lovesbl”的“表白”，到“dream”，再到现在的“forget”，是不是表明这段感情该结束了呢？希望随着这段感情的结束，作者对于病毒的更新也尽快结束吧！

铁军

阳光写的系列病毒分析、解决方案非常好，欢迎阳光同学光临毒霸论坛。{123_047}

htian1993

恩,学习了~

一把锈剑

{Vista_Halloween_Icons_009}    偶像来了 哈哈 努力想阳光学习

不留名

阳光,有空常来过来玩呀!!

helianthuser

毒霸2008必杀你，trick or treak!{Vista_Halloween_Icons_001}