logogogo最新变种XP.exe的分析（Win32.Logogo）

清新阳光

作者：清新阳光                                                            ( http://hi.baidu.com/newcenturysun)
8 A9 f2 v- _. X9 x5 J, y0 r日期：2007/11/17                                                         (转载请保留此声明)
$ _5 G1 x4 m$ G) U$ f9 |, a
6 E' g# \& Q4 I! _# o- k; y, t这是之前logogo.exe病毒的最新变种，此次变种可谓是该系列病毒的一个标志性的变种，如同原先的crsss化身成为“禽兽”病毒一样...

技术细节：
File: logogogo.exe
6 P# I- a! h1 c$ o3 [  [9 I4 ~Size: 17196 bytes
3 P9 G, n) B# ?* v+ s) ~4 @Modified: 2007年11月17日, 10:06:48
1 k3 S: ]0 J+ M2 z; H- B5 g! M, pMD5: CBD42479BD49AEB0E839B3D4F116516B
" w9 K; P; s; y" H1 `7 I1 DSHA1: F1DC3254693CC11C70BCDCB2EC124BD82E550AC5
0 \9 G- U& j5 }8 ]: aCRC32: 9510B8CC
加壳方式：Upack 0.3.9
AV命名：Win32.Logogo.a（瑞星）

1.病毒有两个参数启动自身
1 P8 T* Q% H0 j0 w5 H  u7 K" R( W-down 和-worm分别执行的是下载和感染操作
1 c# P( R! y$ M
, X; C+ w* T, |9 K/ m$ ?+ ~0 Q2.衍生如下副本：
%systemroot%\system\logogogo.exe
在每个磁盘分区根目录下释放XP.exe和autorun.inf达到通过移动存储传播的目的

3.创建注册表启动项目
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
<logogogo><%systemroot%\system\logogogo.exe> []
6 ?- _& ~2 \( |( b, ]9 f' G达到开机启动的目的
在HKLM\SOFTWARE下面创建logogo子键，用以记录病毒安装成功的信息。

  R# p. b  _4 P; V0 ]5 f4.在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下面创建映像劫持项目，指向病毒本身。
/ |2 q# g* z: j; G+ w- W7 r* q4 K) S360rpt.exe
360Safe.exe
360tray.exe
ACKWIN32.EXE
' A2 i$ E* ~8 p# ^" KANTI-TROJAN.EXE
APVXDWIN.EXE
AUTODOWN.EXE
2 L9 W9 F$ u( t* X  aAVCONSOL.EXE
. I9 z# h# c$ {! kAVE32.EXE
AVGCTRL.EXE
AVKSERV.EXE
9 [' t' Y; r6 G! A# x# Y- KAVNT.EXE
# t4 B# Z- U  Z) l3 b, rAVP.EXE
AVP32.EXE
AVPCC.EXE
AVPDOS32.EXE
AVPM.EXE
% D% f5 z/ [/ ~' `/ H9 d2 H2 E; m3 lAVPTC32.EXE
' ]! P; Q, E3 Z5 _( W  ]% ~& BAVPUPD.EXE
% k/ M" F4 i" N- P3 L3 ?/ rAVSCHED32.EXE
, ]) D& O: E1 T7 r0 a; HAVWIN95.EXE
7 W+ U, i' W. d' i% k" VAVWUPD32.EXE
% k7 `8 L0 ]+ {2 `0 |- f! [BLACKD.EXE
BLACKICE.EXE
CFIADMIN.EXE
- Y8 v! ~$ R& YCFIAUDIT.EXE
! j: l9 l' ^& y; MCFINET.EXE
3 C, J2 n3 _5 O* @; iCFINET32.EXE
CLAW95.EXE
# G6 r; R) U6 OCLAW95CF.EXE
CLEANER.EXE
7 l5 p* H9 W5 B0 ^CLEANER3.EXE
% S, e, v: M1 l# x  h- vDVP95.EXE
2 ]& j, Q* M' y* m& BDVP95_0.EXE
ECENGINE.EXE
EGHOST.EXE
ESAFE.EXE
# e4 X+ j' t. Y2 `% n) ]# A4 _EXPWATCH.EXE
F-AGNT95.EXE
7 ?  b6 O, @7 z+ l  U4 \! tF-PROT.EXE
& y  @2 S! A( `F-PROT95.EXE
F-STOPW.EXE
FESCUE.EXE
FINDVIRU.EXE
; ]) c1 `/ w: wFP-WIN.EXE
FPROT.EXE
% h% P: o/ E; w' ?FRW.EXE
IAMAPP.EXE
4 O! }9 w2 @$ \8 k! zIAMSERV.EXE
9 e# p2 j. ?  X% |- W7 c0 fIBMASN.EXE
IBMAVSP.EXE
% P5 p( @3 K4 X3 a+ m+ aICLOAD95.EXE
& V* C2 K# g# J( uICLOADNT.EXE
/ \5 z2 I# J4 n! N4 S; b0 |  t' Z8 ~ICMON.EXE
- v- u! a& }( [9 Q% bICSUPP95.EXE
* C9 q% d0 ]6 ?! jICSUPPNT.EXE
& q' m$ _) x, s& l6 w0 d: c) pIFACE.EXE
8 S+ j' X& Z+ a6 ^) f1 ]IOMON98.EXE
Iparmor.exe
JEDI.EXE
6 H7 s# Z- S3 d" uKAV32.exe
KAVPFW.EXE
' `1 Y- a. u- C, c( hKAVsvc.exe
KAVSvcUI.exe
& [6 d$ D- @% t$ Y) O3 d3 ^KVFW.EXE
. j! x* Z& y' LKVMonXP.exe
KVMonXP.kxp
: b3 t# w" V  ~" @* L! XKVSrvXP.exe
& g+ P. f/ x, W1 Z! X! vKVwsc.exe
KvXP.kxp
0 c2 G% j. m; DKWatchUI.EXE
LOCKDOWN2000.EXE
Logo1_.exe
Logo_1.exe
LOOKOUT.EXE
LUALL.EXE
/ I$ U+ C, f. a, FMAILMON.EXE
+ g7 v$ S# T9 w% e7 r4 N+ zMOOLIVE.EXE
MPFTRAY.EXE
$ z" j" H/ \8 X: ~5 X1 w9 IN32SCANW.EXE
Navapsvc.exe
Navapw32.exe
NAVLU32.EXE
3 Y6 q1 a- Z/ t2 `+ VNAVNT.EXE
0 V- @6 i- {7 R% X4 H0 Q9 Dnavw32.EXE
NAVWNT.EXE
NISUM.EXE
NMain.exe
6 ~, _4 u, k* I1 ENORMIST.EXE
NUPGRADE.EXE
NVC95.EXE
PAVCL.EXE
" ^+ X$ M$ A1 b8 L4 M) ePAVSCHED.EXE
PAVW.EXE
PCCWIN98.EXE
& `# u  V) c9 ]; S5 Y5 D0 DPCFWALLICON.EXE
PERSFW.EXE
PFW.EXE
Rav.exe
RAV7.EXE
RAV7WIN.EXE
. R# A4 {+ J# t, O2 V  ORAVmon.exe
' }. {6 u- K3 QRAVmonD.exe
# V" n$ F) U  r- ]RAVtimer.exe
Rising.exe
, S5 ]* f+ g! GSAFEWEB.EXE
: u' B7 q# h1 m% x9 VSCAN32.EXE
SCAN95.EXE
/ B  l8 r1 _- [3 i- F2 C1 jSCANPM.EXE
SCRSCAN.EXE
' C* H2 f6 B" a( Q/ {8 z. r' b/ LSERV95.EXE
SMC.EXE
SPHINX.EXE
SWEEP95.EXE
TBSCAN.EXE
& A  C& d0 {3 E2 D% Q  z7 }! j! uTCA.EXE
TDS2-98.EXE
# u' n( a( P8 z; q  e, M7 aTDS2-NT.EXE
- q. m0 A& V6 G& t9 q6 GTHGUARD.EXE
2 q9 D" S$ r5 BTrojanHunter.exe
VET95.EXE
: M& e) v5 C" n" i" r& D% v! hVETTRAY.EXE
: Q# p5 l% C, g# t7 B* cVSCAN40.EXE
' H8 }2 i- j; }* E4 rVSECOMR.EXE
  ^1 }/ s; L% v+ y! U) S4 }: TVSHWIN32.EXE
  D8 b' m1 y$ z7 T/ D  WVSSTAT.EXE
WEBSCANX.EXE
: l% ?( t& a/ |; E. g4 b" p! KWFINDV32.EXE
ZONEALARM.EXE
! `$ t/ g% t$ L6 d5 t_AVP32.EXE
# l: C/ O3 c5 P, ^/ h5 __AVPCC.EXE
5 {5 c, E' g  G_AVPM.EXE
# U" W* o9 c6 `8 D修复工具.exe
+ g0 Q4 B  B  n$ ^! l) x* H
5.感染除如下文件夹内的*.exe文件
windows
winnt
( G& X: u% f! z1 S1 ?$ }  Frecycler
: u3 c5 j8 W9 e& i; w0 ]) }system volume information

9 h& L7 {# m* c5 f- {& H/ ^" x* Y$ H# K并不感染如下exe文件
XP.EXE
, J2 h! N9 M0 bCA.exe
0 S2 a" W6 y2 \% d. o) mNMCOSrv.exe
CONFIG.exe
! M/ ~4 g! Y, l9 j) OUpdater.exe
WE8.exe
settings.exe
PES5.exe
3 ?) X$ p! j1 w# a' @PES6.exe
zhengtu.exe
% \* W# x8 g2 E) k$ H, U3 Enettools.exe
4 L. J2 M3 O9 W( g' l/ u: X/ Ylaizi.exe
proxy.exe
) [$ B( M" f: ?1 bLauncher.exe
/ |4 `, @* i3 G6 `" ]WoW.exe
Repair.exe
BackgroundDownloader.exe
# K! g  `7 h/ }+ S  O/ Zo2_unins_web.exe
O2Jam.exe
& h6 j5 z& K! \( ZO2JamPatchClient.exe
  [" r% {, D% T! ZO2ManiaDriverSelect.exe
OTwo.exe
* E8 v0 ~8 w9 m" S/ ysTwo.exe
GAME2.EXE
GAME3.EXE
Game4.exe
game.exe
5 `% v" g5 d% `hypwise.exe
7 L( \  }' d& ?( `0 ~9 c. h. w) _4 dRoadrash.exe
. H2 p0 |, j9 `' F: p2 LO2Mania.exe
# l$ u6 }1 S' g4 O* DLobby_Setup.exe
CoralQQ.exe
# Q7 g2 b! o$ @2 m1 ], jQQ.exe
) t, `0 V8 {5 y! k) `+ ^QQexternal.exe
BugReport.exe
tm.exe
ra2.exe
ra3.exe
ra4.exe
$ i. Z- w# |6 T2 vra21006ch.exe
dzh.exe
) h8 h$ e/ K! m/ \( M$ U5 BFindbug.EXE
fb3.exe
Meteor.exe
0 i9 n3 H: L+ F+ E) U1 B! V  {$ imir.exe
1 t' h* I; ~2 a8 Q+ L" VKartRider.exe
) v" m# h% u6 p+ f# _NMService.exe
" _- r( J$ S$ c5 yAdBalloonExt.exe
& ?5 |# n6 H9 @5 D9 vztconfig.exe
patchupdate.exe
4 g3 |" k" O& ?2 @8 }1 w# G& h
( M* m& t/ G/ R7 U被感染文件尾部被加入一个名为.ani的节。被感染文件运行后会释放一个名为ani.ani的临时文件并运行，该文件即为病毒主体logogogo.exe
2 c5 @8 F* z6 w) [1 D* X, w
6.连接网络下载木马
$ P# a* l. H) S  z# G读取http://dow.*.us/xxx.txt的下载列表
# s! v0 Z; u+ c0 ~0 _8 s* ^然后下载
" G7 g/ Z8 q4 v6 _/ x5 ]http://dow.*.com/1.exe~http://dow.*.com/20.exe到%systemroot%\system下面
并以SYSTEM128.tmp作为下载文件过程中的临时文件
0 `: w. x( b* W( V/ F6 S3 y
9 e: _: r/ H5 |. ^- d5 u( A7.病毒同时会获得当前机器名，操作系统版本，MAC地址等信息

8.病毒体内留有作者留下的广告信息：“出售下载者 QQ 2892*”
6 C9 N- C2 {9 _: c. f( v

! O( `7 K! F! H% Z# Z$ X0 V病毒木马植入完毕后的sreng日志如下：

& I! z% g& k9 x5 @- O: I启动项目
0 I4 C7 h( j  i+ l; `- U+ v) N/ g注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
4 X9 \* }. p& k/ `  j; S<logogogo><%systemroot%\system\logogogo.exe> []
9 W& Z9 i) x9 q[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><kvdxsima.dll> []
/ S3 Q3 e9 f- R. q4 R[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
/ U: s1 ?0 |/ k6 ]) X+ m9 f    <{8E32FA58-3453-FA2D-BC49-F340348ACCE8}><%systemroot%\system32\rsmyhpm.dll> []
    <{A2AC7E3B-30BE-466f-8BAB-1FF9DADD8C7D}><%systemroot%\system32\KVBatch01.dll> []
    <{5A321487-4977-D98A-C8D5-6488257545A5}><%systemroot%\system32\kapjezy.dll> []
4 u9 G. V( Y5 n4 z# ]- ?    <{5A1247C1-53DA-FF43-ABD3-345F323A48D5}><%systemroot%\system32\avwgemn.dll> []
: ~9 w. U/ \% T1 }5 d6 v    <{6859245F-345D-BC13-AC4F-145D47DA34F6}><%systemroot%\system32\avzxfmn.dll> []
    <{4960356A-458E-DE24-BD50-268F589A56A4}><%systemroot%\system32\avwldmn.dll> []
( {; `* D7 T- e. v* e' p    <{5598FF45-DA60-F48A-BC43-10AC47853D55}><%systemroot%\system32\rarjepi.dll> []
    <{A6650011-3344-6688-4899-345FABCD156A}><%systemroot%\system32\ratbjpi.dll> []
    <{38907901-1416-3389-9981-372178569983}><%systemroot%\system32\kawdczy.dll> []
    <{9D561258-45F3-A451-F908-A258458226D9}><%systemroot%\system32\kvdxsima.dll> []
    <{44783410-4F90-34A0-7820-3230ACD05F44}><%systemroot%\system32\raqjdpi.dll> []
. I9 l# ~. I$ s2 D" ]    <{97D81718-1314-5200-2597-587901018079}><%systemroot%\system32\kaqhizy.dll> []
  ]7 T3 t/ {$ z  ?2 l. `" v* O- |    <{38847374-8323-FADC-B443-4732ABCD3783}><%systemroot%\system32\sidjczy.dll> []
4 f; `: ^- E4 F( n2 U    <{8D47B341-43DF-4563-753F-345FFA3157D8}><%systemroot%\system32\kvmxhma.dll> []
1 S4 ?, Y2 y3 q/ G    <{24909874-8982-F344-A322-7898787FA742}><%systemroot%\system32\swjqbzc.dll> []
" G7 S5 c6 L, F7 o    <{A12C8D43-AC10-4C17-9136-E3E2FC9B3D21}><%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys> []

7 e5 c% I: E8 Z9 z! ^[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe]
- W% J* I% v9 V! g    <IFEO[360rpt.exe]><%systemroot%\system\logogogo.exe> []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe]
' a* U) t3 ?6 b2 B: W  `    <IFEO[360Safe.exe]><%systemroot%\system\logogogo.exe> []...

) r' t/ c# t1 T/ m4 H==================================
9 h8 |: k* b) B! ]4 ^8 l7 [: {正在运行的进程
[PID: 1724][%systemroot%\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
    [%systemroot%\system32\rsmyhpm.dll] [N/A, ]
- J; c. W1 N3 L% H  i1 v    [%systemroot%\system32\KVBatch01.dll] [N/A, ]
    [%systemroot%\system32\kapjezy.dll] [N/A, ]
5 c: I/ g  R0 c* s* T7 H    [%systemroot%\system32\avwgemn.dll] [N/A, ]
) V# P  K7 f  U    [%systemroot%\system32\avzxfmn.dll] [N/A, ]
' b' x- O7 s- M1 }4 ?  B. C$ @; C    [%systemroot%\system32\avwldmn.dll] [N/A, ]
! N0 D9 s* k1 W/ M; n% X* r- @    [%systemroot%\system32\rarjepi.dll] [N/A, ]
4 S3 U$ ~5 [9 s& g    [%systemroot%\system32\ratbjpi.dll] [N/A, ]
( x8 i' R8 @% `, W- }+ C( C    [%systemroot%\system32\kawdczy.dll] [N/A, ]
+ y( q" H7 c- z# E/ U, |6 p    [%systemroot%\system32\kvdxsima.dll] [N/A, ]
7 E/ u# I# `# _( z* e  j    [%systemroot%\system32\raqjdpi.dll] [N/A, ]
    [%systemroot%\system32\kaqhizy.dll] [N/A, ]
/ U4 S/ o& V$ {9 N4 Z    [%systemroot%\system32\sidjczy.dll] [N/A, ]
    [%systemroot%\system32\kvmxhma.dll] [N/A, ]
    [%systemroot%\system32\swjqbzc.dll] [N/A, ]
    [%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys] [N/A, ]
==================================
Winsock 提供者
: |5 D: B4 V, _, K! k! O1 XMSAPI Tcpip [TCP/IP]
/ T- [5 P7 q) E* D" ~( X$ H    %systemroot%\system32\qdshm.dll(, N/A)
+ O; |7 t- [: G' ~# d5 \6 G4 hMSAPI Tcpip [UDP/IP]
    %systemroot%\system32\qdshm.dll(, N/A)
==================================
" I4 \5 k  X5 I& g6 bAutorun.inf
[C:\]
5 k4 x" g" r" z) ]8 L; G6 v' i[AutoRun]
OPEN=XP.EXE
7 F% E, h% R/ S: F0 ]; Xshellexecute=XP.EXE
shell\打开(&O)\command=XP.EXE
[D:\]
+ G* ]: p5 \: f8 A# R[AutoRun]
8 H2 P( ^' ]! }% p. n7 dOPEN=XP.EXE
shellexecute=XP.EXE
( J8 n. v% l- ~+ bshell\打开(&O)\command=XP.EXE...
0 `& C. j1 P2 w9 l0 a$ m/ Z
解决办法：
) S! H2 [1 k' S- _下载sreng:http://download.kztechs.com/files/sreng2.zip
Xdelbox:http://www.dodudou.com/down/里面的原创软件文件夹下
7 X) H/ _8 Y2 V' O
- x3 u: L: h+ H8 U5 Y  I% s0 e首先重启计算机进入安全模式下(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)
分别解压Xdelbox和sreng
7 G$ Q5 |  d% K8 X6 X(注意：如果winrar也被感染，请重装winrar后再解压文件,推荐重装winrar)

) t" q, ?4 x) I. C& e" m% H( V! }2 I' _1.打开sreng
5 x: f1 ]/ c3 ~" S, E; `启动项目 注册表 删除如下项目
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
( e% O9 o" ^: s! p3 [<logogogo><%systemroot%\system\logogogo.exe> []

% n0 E$ a6 n, q/ b$ u并删除所有红色的IFEO项目
" i' N+ y0 G8 O7 {$ \
修复－系统修复－重置winsock

2.解压Xdelbox所有文件到一个文件夹
/ \) q  T2 v. E4 E6 \' A在 添加旁边的框中 分别输入
% f* O4 x! M+ _2 J%systemroot%\system32\rsmyhpm.dll
%systemroot%\system32\KVBatch01.dll
%systemroot%\system32\kapjezy.dll
& ?1 R; B6 }; \( \%systemroot%\system32\avwgemn.dll
%systemroot%\system32\avzxfmn.dll
6 o4 Z; L8 }0 q2 Q8 H%systemroot%\system32\avwldmn.dll
%systemroot%\system32\rarjepi.dll
% E9 I+ E' Y) g3 u! [%systemroot%\system32\ratbjpi.dll
%systemroot%\system32\kawdczy.dll
, N! C. ~! l1 Z: [%systemroot%\system32\kvdxsima.dll
%systemroot%\system32\raqjdpi.dll
6 V% k, I' q9 }- O; A6 J4 }; B4 y%systemroot%\system32\kaqhizy.dll
%systemroot%\system32\sidjczy.dll
%systemroot%\system32\kvmxhma.dll
%systemroot%\system32\swjqbzc.dll
6 U8 P$ Y! p6 X3 u6 q%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys
输入完一个以后 点击旁边的添加 按钮 被添加的文件 将出现在下面的大框中
  G& |! V( _3 ~# Q* J然后一次性选中 （按住ctrl)下面大框中所有的文件
- e- R4 v* i; v# U9 L6 g: }右键 单击 点击 重启立即删除

3 B1 J% A6 x- }; Q5 b2 c3.重启计算机后
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
" u# D4 Q9 g9 E# _; a! \2 I点击 菜单栏下方的 文件夹按钮（搜索右边的按钮）
在左边的资源管理器中单击打开系统所在盘
$ h, a! V! `$ H$ J删除%systemroot%\system\logogogo.exe
6 a' B/ s: M9 j# z: |% @1 r  H%systemroot%\system32\qdshm.dll

- i0 r9 [) m/ s在左边的资源管理器中单击打开每个盘
删除各个盘根目录下的XP.exe和autorun.inf
/ k2 m5 z( ?* G& d8 @: A. s: k' J$ M0 j
4.打开sreng
- ^/ ?$ Z3 C8 ?- q- r& K7 u, ]启动项目 注册表
双击AppInit_DLLs把其键值清空

5.使用杀毒软件全盘杀毒修复被感染的exe文件(如果杀毒软件也被感染，请重装杀毒软件以免造成反复感染)

欢迎参加毒霸2008有奖公测活动，大奖是容量为2个G的U盘。

chu830606

顶一下{58}

huruochen203

路过,学习了

蜗蜗牛

好东西就要顶~~~

a44557788

顶个

huang6980535

b 不懂4{7E(2)}

xiachenchen

支持，学习了。!

saka

{5E(1)}

Arian

谢谢楼主，好帖！

幽灵MM

Avast!果然用的人少{78} ，居然没有小A的进程被劫持{A8}

QWE

{7E(2)} {7E(2)} {7E(2)} {7E(2)} {7E(2)}

QWE

{B6} {B6} {B6}

zoujie

要是有专杀就好了

yycagl

好东西大家支持啊

天涯

xp.exe是病毒文件吗？

youqitao007

{7E(2)} {7E(2)} 还是先自杀的好！！

ampm

学习学习{68}

hufu

谢谢.....

ksdb1349950

ksdb1349950

金山发现不了这个