"梦中情人sbl"新变种"snow.exe,snowfall.exe"的分析

原创非首发，转载请注明作者：清新阳光  ( http://hi.baidu.com/newcenturysun)' C) _' D$ b( y; P; M5 V# b
样本来自卡饭，此病毒即原先分析过的sbl.exe系列的变种

File: AnHao.exe2 }  Y$ N/ P( @3 b3 X7 m
Size: 35840 bytes, m! i6 l2 A8 E
File Version: 6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)1 K" ?2 U% ^5 J, ]  |
Modified: 2007年10月28日, 12:34:23
MD5: 53E349555372ADE49D4FF6C195DCEF5C; _. [2 h! Y( z$ g$ z" P
SHA1: E11B37AF59B6D4B5C64BB0DB600B7AC51D3F32261 Y" y" @# Y1 A* ?. Q
CRC32: 1E49FEA31 r) m$ f1 r, Q6 i/ B+ n8 ^' O
& q0 E& F, v! M$ |! O6 V4 [" E9 g
技术细节：
+ X) C$ b/ ~; A, i* M1 F1 ~9 C: V& |6 r1 q: j, K
1、释放病毒副本：$ x) F* _7 J/ Y& H1 \$ B8 m2 p
%systemroot%\system32\1.inf+ r, X: C- M: S# A1 H. D: D& ~
%systemroot%\system32\forget.dll. }  D" H- M5 G2 l
%systemroot%\system32\snowfall.exe: x, ]4 o$ l+ u" l
检测各个分区根目录下是否有autorun.inf的文件或者文件夹，如果有则将其改名为AnHao4 k* P2 A" M' R' x
然后在各个分区释放autorun.inf和snow.exe达到通过U盘传播的目的' i& Z( U4 M3 u! z( t2 E/ f
并每隔9s检测是否存在，如不存在，则重写
%systemroot%\system32\1.inf与autorun.inf内容相同; M: i* k) h: `7 O( K- T! T
5 g2 R  W" m: D, d2 y5 S
2.调用cmd.exe 执行cmd.exe /c net stop sharedaccess的命令关闭Windows自带的防火墙
( m8 |4 B6 k" n8 d9 `* ]$ }
3.调用TerminateProcess函数关闭如下进程
360safe.exe0 ^+ [5 g2 B" o. }9 @. ^6 v9 e( E
360tray.exe
+ c! [) w7 C' b. g) n
4.提升自身权限，关闭avp.exe的句柄
5 A2 A: A  n+ D
5.调用FindWindowTextA函数查找窗口标题，并通过PostMessageA函数发送WM_CLOSE,WM_DESTROY,WM_QUIT的消息关闭带有如下字样的窗口
防火墙2 G/ a: }. \/ K! g7 _+ z9 ?7 c5 `
任务管理器
木马清道夫9 t% w- G/ k7 P. }% s9 d% S
木马克星7 r0 B: P/ s; z2 r
超级巡警
主线程
NOD32核心7 R" p; g2 t  g2 y, k
微点! d4 j( [/ h2 v' f
安全卫士
木马杀客
NOD32 内核
杀毒
江民2 ^0 g8 ?! b' W
金山

6.在HKLM\software\microsoft\windows NT\currentversion\image file execution options下面添加项目映像劫持以下杀毒软件和安全工具
360rpt.exe) p2 h5 a+ x$ F2 F3 R; X8 G* g
360Safe.exe
360tray.exe9 z  F" d7 E) l" P
adam.exe6 Q5 y- `0 r" ^5 z. r
AgentSvr.exe& L' ]1 P: m  D
AppSvc32.exe
autoruns.exe
avgrssvc.exe8 w2 ~! v' ^% G. f
AvMonitor.exe; c5 v- L  ^8 B( H! |
avp.com9 @* N5 M( _  u) ~# s1 d
avp.exe  F$ `; `; p) p# m
CCenter.exe
ccSvcHst.exe
FileDsty.exe
FTCleanerShell.exe) _$ P2 E- w& D0 \  P
HijackThis.exe
IceSword.exe& @. W' u* d, _$ p; u
iparmo.exe
Iparmor.exe
isPwdSvc.exe5 n1 W: |$ d1 A9 l  C6 x" ?
kabaload.exe
KaScrScn.SCR
KASMain.exe
KASTask.exe8 M7 A+ O! z" X8 k6 L! O
KAV32.exe
KAVDX.exe$ ]: l4 x# r" L, b  T
KAVPFW.exe8 d# `2 k/ O, z; S
KAVSetup.exe
KAVStart.exe* t* {6 @, W/ b
KISLnchr.exe
KMailMon.exe$ O& y( Z- I) i" k, U* g! ^
KMFilter.exe6 ?7 X, u  d0 @9 j" I
KPFW32.exe
KPFW32X.exe
KPFWSvc.exe
KRegEx.exe( i7 q4 Y) C$ }: t+ {
KRepair.COM6 P' m4 @7 l' Q4 G
KsLoader.exe  y4 y: }/ Q- f; v* U- B7 b
KVCenter.kxp
KvDetect.exe  d$ u0 b* E) d; Y  [: x# T, m+ G
KvfwMcl.exe
KVMonXP.kxp0 x6 M& b! ]0 p) s5 z) T
KVMonXP_1.kxp1 g1 p$ B0 W2 j, h! H4 C! Q9 W
kvol.exe7 n8 [: g! O  w4 P5 _7 T& g. s
kvolself.exe
KvReport.kxp
KVSrvXP.exe2 g( n7 T8 B' q7 ]9 {  b
KVStub.kxp3 ^( N+ o3 L/ w9 R
kvupload.exe4 ^" p, S+ a& S7 u, L
kvwsc.exe- p* z; S1 ?6 N3 g: v$ b' \
KvXP.kxp; v4 _) A' G& m& f
KWatch.exe; A& ^, ~9 K. I; g7 j
KWatch9x.exe
KWatchX.exe
loaddll.exe) ]) P' q3 j9 x; k
MagicSet.exe6 c& q; e4 F6 a" |$ l
mcconsol.exe0 z; o/ ?5 {) Y. w! u
mmqczj.exe
mmsk.exe( [  h4 z' z5 P
NAVSetup.exe
nod32krn.exe
nod32kui.exe
PFW.exe7 k9 W: ^# e3 [7 a. G; j! L
PFWLiveUpdate.exe
QHSET.exe- H- k) ^1 G1 W$ [8 r# i" W. M
Ras.exe" {6 J4 ?& W9 D: M
Rav.exe
RavMon.exe
RavMonD.exe
RavStub.exe; K6 F" r4 U3 ?( N
RavTask.exe
RegClean.exe4 Q2 t% Q  O1 L
rfwcfg.exe+ r0 E  o' r# K4 L0 j
RfwMain.exe2 A6 p' A( H3 l& s& i
rfwProxy.exe
rfwsrv.exe! S9 X! P; Z9 l' s
RsAgent.exe3 j+ h( k) ~9 X1 y! I
Rsaupd.exe5 V7 L+ \6 P- l( f/ f; _
runiep.exe5 |0 q7 u) ^+ X! U1 F+ z8 `
safelive.exe2 {! a( V- {# c: r
scan32.exe; {2 e) f, K0 X3 r- v: H
shcfg32.exe8 h: B7 ?, r% B0 E, Q8 R7 r' m* `
SmartUp.exe
SREng.exe' z* l/ e8 Q  G
symlcsvc.exe  i7 o/ U9 P  m$ h
SysSafe.exe5 a* ?4 G$ D; v# n. J6 }, w$ ~! ~
TrojanDetector.exe/ {3 C- i9 ]. i: o0 |
Trojanwall.exe; Z2 J7 X6 Q! _  ]( f/ C
TrojDie.kxp5 m$ e6 F- p! R& G, Y+ f
UIHost.exe
UmxAgent.exe. H0 v# ]: I" Y7 H
UmxAttachment.exe" ?% Z1 E+ u' E+ V" X
UmxCfg.exe
UmxFwHlp.exe3 ^5 }6 m$ P7 I9 O9 q( f' M
UmxPol.exe
UpLive.EXE1 c) u7 t2 X* p2 [2 h9 j0 D) q3 ]
WoptiClean.exe
zxsweep.exe
$ A4 a8 B8 X: k. l7 C9 T8 o
7.调用CreateProcess打开进程%systemroot%\system32\spoolsv.exe，把%systemroot%\system32\forget.dll注入到spoolsv.exe中，并调用+ X9 d3 Y0 M3 M
urlmon.dll实现下载功能
下载http://www.hackceo.com/ts.jif到c:\a.exe
http://www.hackceo.com/ts.jpg到c:\b.exe
http://www.hackceo.com/ts.rar到c:\c.exe# B& e6 S  {  ]( o) u- L
但下载链接均已失效，无法判断是什么病毒...
# q. y6 q( f! d. }  L1 {
8.病毒体内有字样“mylovegirlsbl”8 [  b' q0 ^1 q
/ `! z& j! c+ ?: w2 H
解决办法：+ z5 V, \+ d: J$ j& n0 c# b
下载冰刃：
http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip
sreng：
http://download.kztechs.com/files/sreng2.zip' h! a, y! A- H! y9 @- I5 z
! `  P& u: V, D/ n+ H  i
1.解压缩冰刃
把冰刃的Icesword.exe改名为1.com$ A, o: {8 c, H' \, X
切换到进程一栏找到%systemroot%\system32\snowfall.exe
右键结束进程( N. h2 D: U% C, {: E4 e

! a! d9 K1 j( j  I' T
$ c  o8 W1 T/ S( t' s
2.（还是在冰刃中）点击左下角的文件按钮6 w- C7 }+ h# L6 N: M; w
找到如下文件删除之
%systemroot%\system32\1.inf
%systemroot%\system32\forget.dll, {% n" ~' G& X/ f" S6 J; i5 }
%systemroot%\system32\snowfall.exe+ n6 b9 ~! c4 N
并删除各个分区下面的snow.exe和autorun.inf(不要忘记)  K0 }; v8 E# q$ O/ H

3.把sreng.exe改名为2.com，运行' W9 Z2 ?* Y0 Y# l1 v7 Z
启动项目注册表
删除所有红色的IFEO映像劫持项目

PS:从拿到第一个版本的sbl到现在这个版本，病毒作者逐渐添加了各种功能，从关闭窗口到现在流行的映像劫持，同时也发现了作者的一些内心情感变化，从先前的“lovesbl”的“表白”，到“dream”，再到现在的“forget”，是不是表明这段感情该结束了呢？希望随着这段感情的结束，作者对于病毒的更新也尽快结束吧！

1 评分次数