logogogo最新变种XP.exe的分析（Win32.Logogo）

logogogo

作者：清新阳光                                                          ( http://hi.baidu.com/newcenturysun)% n. O; q6 B0 J5 l4 s/ R4 l
日期：2007/11/17                                                       (转载请保留此声明) * ?8 r( c5 Y! H
8 l& u3 W" L( R0 d/ P
这是之前logogo.exe病毒的最新变种，此次变种可谓是该系列病毒的一个标志性的变种，如同原先的crsss化身成为“禽兽”病毒一样...3 T4 K$ l( ~8 X1 m* o
! V. \9 h% x: Y& v2 |% P+ e
技术细节：; i! B/ Y5 O. j% m( [2 i" H# p
File: logogogo.exe
Size: 17196 bytes
Modified: 2007年11月17日, 10:06:48
MD5: CBD42479BD49AEB0E839B3D4F116516B
SHA1: F1DC3254693CC11C70BCDCB2EC124BD82E550AC5
CRC32: 9510B8CC  @& f( X* z' G* ^9 |9 w) \2 H
加壳方式：Upack 0.3.9 6 D. R6 R( v( O: [
AV命名：Win32.Logogo.a（瑞星）: V6 h( E) H. ~4 f' K

1.病毒有两个参数启动自身& U) P! `/ V1 E) D# h
-down 和-worm分别执行的是下载和感染操作
- A# {3 e( S$ v1 o  m4 R! O
2.衍生如下副本：
%systemroot%\system\logogogo.exe! @3 K4 }# X2 [1 `3 z
在每个磁盘分区根目录下释放XP.exe和autorun.inf达到通过移动存储传播的目的4 [% g/ j) f% X; c; h
1 k  N( s9 c2 L1 Y7 x
3.创建注册表启动项目1 x; u8 {; S+ y& q' b
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
<logogogo><%systemroot%\system\logogogo.exe> []3 r" c7 `9 r: U" Q! @) b+ ]3 K
达到开机启动的目的5 s$ Z& y, x* C9 `, ^- w; v
在HKLM\SOFTWARE下面创建logogo子键，用以记录病毒安装成功的信息。: j9 p6 t! z) \# r6 [
% [" c9 X$ y  J) m( ?# n
4.在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下面创建映像劫持项目，指向病毒本身。7 b. E9 M4 s+ @) D
360rpt.exe
360Safe.exe
360tray.exe. ]8 C9 ~+ p3 I2 t7 _5 f
ACKWIN32.EXE
ANTI-TROJAN.EXE) u4 m6 @! P( y: z
APVXDWIN.EXE
AUTODOWN.EXE  T6 g6 z$ p+ D- K+ `
AVCONSOL.EXE7 C2 M- D6 N5 }& @' @1 Z
AVE32.EXE) Y! o  O4 Q" m* ?* k# [" }
AVGCTRL.EXE: L6 B# v, g" v7 _( p& m
AVKSERV.EXE& Q* d+ B7 X1 |
AVNT.EXE
AVP.EXE: h& A) a* J, P! _- _- H
AVP32.EXE% `6 _* p. ]# w& k5 P
AVPCC.EXE
AVPDOS32.EXE% I' b! `0 `6 l4 o! ^5 h
AVPM.EXE
AVPTC32.EXE1 w3 h& v% n! d9 y$ w2 T
AVPUPD.EXE
AVSCHED32.EXE
AVWIN95.EXE
AVWUPD32.EXE9 m( Q+ }/ ]# b$ m) \
BLACKD.EXE; x  _3 v# }. U* A- \
BLACKICE.EXE
CFIADMIN.EXE
CFIAUDIT.EXE) L+ z- p( W" K5 |; n# ~
CFINET.EXE" g$ e5 |8 l) E1 n, n2 v% x) A  F
CFINET32.EXE* o- c! `. c3 _$ ?0 H$ t! u5 ?
CLAW95.EXE
CLAW95CF.EXE
CLEANER.EXE7 U: ~6 w# W, V: Q
CLEANER3.EXE
DVP95.EXE
DVP95_0.EXE
ECENGINE.EXE
EGHOST.EXE
ESAFE.EXE5 ^& D( i0 u0 U8 O6 [! o. I/ D% w
EXPWATCH.EXE
F-AGNT95.EXE# y- x' H; [  `  R: C
F-PROT.EXE
F-PROT95.EXE
F-STOPW.EXE
FESCUE.EXE, W9 R- o8 j3 \: B
FINDVIRU.EXE
FP-WIN.EXE
FPROT.EXE
FRW.EXE
IAMAPP.EXE' ~) _8 ^: f" I8 Q( @/ ]
IAMSERV.EXE
IBMASN.EXE
IBMAVSP.EXE
ICLOAD95.EXE
ICLOADNT.EXE
ICMON.EXE  ]- A; Y" k8 s) L8 G* J  ]+ F
ICSUPP95.EXE
ICSUPPNT.EXE0 @! z( _/ i+ H2 `* U7 H
IFACE.EXE/ K! q* M5 I4 [  \
IOMON98.EXE% `- R' t7 p6 x* `
Iparmor.exe/ [7 \  A2 a* B5 |1 m6 j
JEDI.EXE
KAV32.exe! k0 ]) N+ Y5 V8 l8 Y' ]5 `! ]" Z* Z
KAVPFW.EXE; w' \) Y3 b" T2 R. j8 w# |
KAVsvc.exe
KAVSvcUI.exe- p* M8 K9 L( E5 J; {/ E% I# u
KVFW.EXE
KVMonXP.exe
KVMonXP.kxp
KVSrvXP.exe
KVwsc.exe
KvXP.kxp
KWatchUI.EXE
LOCKDOWN2000.EXE
Logo1_.exe7 ^. I5 x% Q; j
Logo_1.exe5 r' g% M6 Z- r, f
LOOKOUT.EXE
LUALL.EXE0 H; a$ N1 L2 M, w- v# d8 [4 M' ]& U
MAILMON.EXE+ s' l% Z- e. d& ^' k* r) h
MOOLIVE.EXE
MPFTRAY.EXE
N32SCANW.EXE
Navapsvc.exe
Navapw32.exe) ?6 W8 }5 K* B2 j' D$ `
NAVLU32.EXE% {) I& x, o9 v1 p
NAVNT.EXE
navw32.EXE
NAVWNT.EXE
NISUM.EXE7 V. Z# ^( B; U: I6 W1 ^
NMain.exe
NORMIST.EXE
NUPGRADE.EXE+ {' ~0 A; K: n
NVC95.EXE" I& `0 ^- y, p; f9 e, B; b# M: w) I
PAVCL.EXE* W* ^7 k9 y# K# c
PAVSCHED.EXE
PAVW.EXE
PCCWIN98.EXE
PCFWALLICON.EXE* G8 w; _. {, F5 e+ w- Y
PERSFW.EXE6 k* q3 w% A) o! K3 d& `! }
PFW.EXE
Rav.exe  B- E5 R& d# M! k$ H  O" p
RAV7.EXE) R8 b0 F6 Y% r( E3 [6 A* r# t
RAV7WIN.EXE5 ]+ m, b' k& ?# O" g. l' A
RAVmon.exe
RAVmonD.exe
RAVtimer.exe$ L7 u: G& w7 |; S  ]; I$ V5 }
Rising.exe" L/ L9 m0 ~+ \- E$ u5 ~' H2 l+ {
SAFEWEB.EXE' F. N9 H5 `5 w7 ?. v1 {: I8 a, Y
SCAN32.EXE! o7 r% V% l, f$ p( }6 d( v
SCAN95.EXE# G6 Y: T0 I& C0 i
SCANPM.EXE
SCRSCAN.EXE
SERV95.EXE& D( X* e4 }0 B8 l
SMC.EXE
SPHINX.EXE
SWEEP95.EXE+ }4 H9 R# N9 K
TBSCAN.EXE8 j2 x7 u3 w! B
TCA.EXE
TDS2-98.EXE3 I7 \$ W2 v- A; b! G6 e( a7 T% v
TDS2-NT.EXE! O. I' h( ]! ^  P& m
THGUARD.EXE
TrojanHunter.exe
VET95.EXE7 s; g* [8 D$ a" W9 l
VETTRAY.EXE
VSCAN40.EXE; r: V. a4 h' z2 u
VSECOMR.EXE
VSHWIN32.EXE
VSSTAT.EXE
WEBSCANX.EXE
WFINDV32.EXE
ZONEALARM.EXE4 Q% E4 o% C& _# _* T' o
_AVP32.EXE% S# ~) X1 i4 H& P- w
_AVPCC.EXE
_AVPM.EXE3 x8 J% C6 W3 P# d
修复工具.exe, D" y2 t. g+ W8 J7 o* O

5.感染除如下文件夹内的*.exe文件
windows' ^) ~9 I8 s8 Y& E
winnt
recycler, |2 d& C9 w  B, ]
system volume information
: J$ u& |" {/ E9 {7 p4 |
并不感染如下exe文件
XP.EXE : ?* I4 z! a/ x. }+ i7 H7 E% T
CA.exe
NMCOSrv.exe
CONFIG.exe
Updater.exe & u9 y/ A0 S; w8 r* v: M6 W
WE8.exe ' C$ S- i  w& u
settings.exe
PES5.exe
PES6.exe
zhengtu.exe
nettools.exe . z; X" N8 G/ o1 Y
laizi.exe + n" m: C' }) c( f
proxy.exe ! M" c, y2 ^  ]9 Y3 m/ e9 a
Launcher.exe 9 S8 u9 P8 X: m. f1 u# I4 Z
WoW.exe
Repair.exe . K  O8 D( o7 F5 ]' ?
BackgroundDownloader.exe
o2_unins_web.exe ! r$ ]+ m5 q9 P$ F6 W+ v
O2Jam.exe 4 O* V; W, m6 S1 K9 e
O2JamPatchClient.exe 1 _6 p  {( m' K
O2ManiaDriverSelect.exe
OTwo.exe 6 Z" x( F; ?+ I3 H
sTwo.exe0 o8 j  V5 s$ l; T
GAME2.EXE 5 j% D# a9 G2 P/ z) X* B% t$ R
GAME3.EXE
Game4.exe
game.exe
hypwise.exe ; t7 }+ A. a5 n, G6 g! O4 S: X
Roadrash.exe 2 l8 X1 n' Y& [1 ?! {+ x
O2Mania.exe ) P3 A5 m+ q$ ?# {
Lobby_Setup.exe
CoralQQ.exe
QQ.exe # P3 G" V# ^6 T" @
QQexternal.exe
BugReport.exe
tm.exe + x( ~% G0 M( l0 w2 w& ~
ra2.exe
ra3.exe 3 W/ j& _$ x7 u7 R$ Z: Z5 k( m9 z
ra4.exe
ra21006ch.exe' o# @! ]( f0 E9 W
dzh.exe
Findbug.EXE 6 b' B! f% x7 R$ r, i  M
fb3.exe 7 @) r# e* D6 s$ g4 B$ e7 l
Meteor.exe 4 F2 ]" k3 K7 A  E, j+ _- K) r
mir.exe
KartRider.exe
NMService.exe ) M1 g) A) v5 X3 t
AdBalloonExt.exe
ztconfig.exe 1 ?% F9 N5 w4 k
patchupdate.exe/ T6 W0 [8 w) i5 c0 y) w- G, i

被感染文件尾部被加入一个名为.ani的节。被感染文件运行后会释放一个名为ani.ani的临时文件并运行，该文件即为病毒主体logogogo.exe
$ M( f1 N9 d" W
6.连接网络下载木马
读取http://dow.*.us/xxx.txt的下载列表: |' |8 \  f& Y9 g9 L: Z! t
然后下载1 `$ |3 h" N( G) {: i7 t
http://dow.*.com/1.exe~http://dow.*.com/20.exe到%systemroot%\system下面* Y/ w7 X. v7 d: g/ y. r" w
并以SYSTEM128.tmp作为下载文件过程中的临时文件

7.病毒同时会获得当前机器名，操作系统版本，MAC地址等信息6 Y+ G( Y& F# n- |' d
, [% E  q- l% \( k, @
8.病毒体内留有作者留下的广告信息：“出售下载者 QQ 2892*”/ U4 f" B" t' B; [2 ?

病毒木马植入完毕后的sreng日志如下：

启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] , U3 C; k- ?9 ^6 p7 q5 x8 h6 |2 u& Z
<logogogo><%systemroot%\system\logogogo.exe> []& e- {4 L, V, s0 X; ]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><kvdxsima.dll> []! @2 D$ a0 v: F! J9 i6 c1 F' I
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]) z4 U& F/ ?6 J5 b0 L9 K1 @
<{8E32FA58-3453-FA2D-BC49-F340348ACCE8}><%systemroot%\system32\rsmyhpm.dll> []
<{A2AC7E3B-30BE-466f-8BAB-1FF9DADD8C7D}><%systemroot%\system32\KVBatch01.dll> []
<{5A321487-4977-D98A-C8D5-6488257545A5}><%systemroot%\system32\kapjezy.dll> []
<{5A1247C1-53DA-FF43-ABD3-345F323A48D5}><%systemroot%\system32\avwgemn.dll> []
<{6859245F-345D-BC13-AC4F-145D47DA34F6}><%systemroot%\system32\avzxfmn.dll> []9 r; o1 T( F$ T) w7 n
<{4960356A-458E-DE24-BD50-268F589A56A4}><%systemroot%\system32\avwldmn.dll> []1 \) V7 U/ P7 ?( i9 b# c# Z
<{5598FF45-DA60-F48A-BC43-10AC47853D55}><%systemroot%\system32\rarjepi.dll> []
<{A6650011-3344-6688-4899-345FABCD156A}><%systemroot%\system32\ratbjpi.dll> []
<{38907901-1416-3389-9981-372178569983}><%systemroot%\system32\kawdczy.dll> []
<{9D561258-45F3-A451-F908-A258458226D9}><%systemroot%\system32\kvdxsima.dll> []) a! n8 S. b  E4 E( N% k
<{44783410-4F90-34A0-7820-3230ACD05F44}><%systemroot%\system32\raqjdpi.dll> []! l$ x2 P9 i  Y4 P5 v8 |7 b; [
<{97D81718-1314-5200-2597-587901018079}><%systemroot%\system32\kaqhizy.dll> []
<{38847374-8323-FADC-B443-4732ABCD3783}><%systemroot%\system32\sidjczy.dll> []2 h8 f) R9 h4 w" t+ G
<{8D47B341-43DF-4563-753F-345FFA3157D8}><%systemroot%\system32\kvmxhma.dll> []
<{24909874-8982-F344-A322-7898787FA742}><%systemroot%\system32\swjqbzc.dll> []  ~$ t! b% L" r  I
<{A12C8D43-AC10-4C17-9136-E3E2FC9B3D21}><%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys> []- P+ ^3 h' C8 @" A- l! c* e2 t

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe]% o: \% d7 r! g4 j, x1 [* s
<IFEO[360rpt.exe]><%systemroot%\system\logogogo.exe> []2 U3 s) t/ b2 Z3 z
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe]% X) }: l- ^+ ^  r
<IFEO[360Safe.exe]><%systemroot%\system\logogogo.exe> []...

==================================7 c6 s4 T. h! _- E' f) B2 R4 ?
正在运行的进程
[PID: 1724][%systemroot%\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[%systemroot%\system32\rsmyhpm.dll] [N/A, ]/ B0 Y: L, T9 J" z3 @3 r5 Z
[%systemroot%\system32\KVBatch01.dll] [N/A, ]
[%systemroot%\system32\kapjezy.dll] [N/A, ]
[%systemroot%\system32\avwgemn.dll] [N/A, ]
[%systemroot%\system32\avzxfmn.dll] [N/A, ]% M' g7 _/ v9 r* w$ M6 O6 a
[%systemroot%\system32\avwldmn.dll] [N/A, ]
[%systemroot%\system32\rarjepi.dll] [N/A, ]
[%systemroot%\system32\ratbjpi.dll] [N/A, ]
[%systemroot%\system32\kawdczy.dll] [N/A, ]
[%systemroot%\system32\kvdxsima.dll] [N/A, ]; Y) h8 s! z( A3 D
[%systemroot%\system32\raqjdpi.dll] [N/A, ]7 a; q2 \+ M$ u# j
[%systemroot%\system32\kaqhizy.dll] [N/A, ]
[%systemroot%\system32\sidjczy.dll] [N/A, ]: O. X, o% M7 ]; u+ _" ^
[%systemroot%\system32\kvmxhma.dll] [N/A, ]
[%systemroot%\system32\swjqbzc.dll] [N/A, ]: M" Q+ q1 o3 Q- P
[%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys] [N/A, ]/ S( I3 A! D8 L
==================================
Winsock 提供者3 O; h! `0 E) E6 G
MSAPI Tcpip [TCP/IP]
%systemroot%\system32\qdshm.dll(, N/A)
MSAPI Tcpip [UDP/IP]# u4 R: }4 ~+ e( Y  j
%systemroot%\system32\qdshm.dll(, N/A)7 s8 o; X5 p  \* K2 Q4 p
==================================- C  K, t* |- _! y2 a( H* U' c3 f
Autorun.inf# `' D5 v3 H- k/ w  Z
[C:\]
[AutoRun]* z8 l) k4 ]& ~! g" n/ V' i
OPEN=XP.EXE
shellexecute=XP.EXE
shell\打开(&O)\command=XP.EXE0 C, W6 g$ m" n+ I3 l8 E
[D:\]
[AutoRun]2 P. a! t% D( V5 K& m
OPEN=XP.EXE
shellexecute=XP.EXE. u4 ^" E9 }* X/ r  E2 b
shell\打开(&O)\command=XP.EXE...

解决办法：
下载sreng:http://download.kztechs.com/files/sreng2.zip. }& n; ?  s: O: ^0 ^/ b' J$ R* n
Xdelbox:http://www.dodudou.com/down/里面的原创软件文件夹下9 y" i; A7 `" |5 K6 k
5 Q" T" X3 m3 Z$ o7 x
首先重启计算机进入安全模式下(开机后不断按F8键然后出来一个高级菜单选择第一项安全模式进入系统)1 v4 @: O& s4 n6 \$ c
分别解压Xdelbox和sreng) s) o. t* }( h9 |/ ]
(注意：如果winrar也被感染，请重装winrar后再解压文件,推荐重装winrar)2 d& |! H1 Z- N3 q( m" J/ ~

1.打开sreng0 A# _& F; [# N  @$ \
启动项目注册表删除如下项目 5 e2 U+ w! a/ n2 q( ^+ s
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<logogogo><%systemroot%\system\logogogo.exe> []

并删除所有红色的IFEO项目

修复－系统修复－重置winsock, Z/ ?. U  C% S9 @
7 V. k3 r+ l- O9 S% g5 R+ _
2.解压Xdelbox所有文件到一个文件夹* W7 b% a, E' Z7 C+ y
在添加旁边的框中分别输入
%systemroot%\system32\rsmyhpm.dll
%systemroot%\system32\KVBatch01.dll3 T6 ]2 ^" E: ?
%systemroot%\system32\kapjezy.dll/ T) n/ c9 ?1 b
%systemroot%\system32\avwgemn.dll& F3 H( P. f+ S3 H: b6 q
%systemroot%\system32\avzxfmn.dll3 N3 e8 e6 z9 ?7 D# Y4 B
%systemroot%\system32\avwldmn.dll7 `9 k! R* y. L' i, x( ?. e1 ~
%systemroot%\system32\rarjepi.dll* M% D! d% C1 S7 F2 I# [
%systemroot%\system32\ratbjpi.dll6 v& ]* d! g9 T( O7 n, h* w- }
%systemroot%\system32\kawdczy.dll; i1 u9 }" y; d( d
%systemroot%\system32\kvdxsima.dll
%systemroot%\system32\raqjdpi.dll" Z( H* L& a' r
%systemroot%\system32\kaqhizy.dll
%systemroot%\system32\sidjczy.dll
%systemroot%\system32\kvmxhma.dll) {+ {2 v$ a4 ~3 s* N& l" g
%systemroot%\system32\swjqbzc.dll
%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys& y3 ?  }3 B  @( a" S7 D, o
输入完一个以后点击旁边的添加按钮被添加的文件将出现在下面的大框中( A* e9 r, h# H
然后一次性选中（按住ctrl)下面大框中所有的文件& G) @2 L$ Q3 q, b
右键单击点击重启立即删除( c! b' s/ m, N- n

3.重启计算机后, n  m6 N4 m! r) J8 \3 v
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
点击菜单栏下方的文件夹按钮（搜索右边的按钮）
在左边的资源管理器中单击打开系统所在盘- J' L6 N8 ^8 c2 M# P  G9 i
删除%systemroot%\system\logogogo.exe
%systemroot%\system32\qdshm.dll
4 g# v+ Q- Z8 h/ l: b9 o2 ~( T. b5 G
在左边的资源管理器中单击打开每个盘
删除各个盘根目录下的XP.exe和autorun.inf! o* a7 Q) \. T

4.打开sreng + t) {& W9 F% A1 P
启动项目注册表
双击AppInit_DLLs把其键值清空# ?* m4 j* w9 @
/ i% R6 q* U) |5 ^  d0 {: x( A
5.使用杀毒软件全盘杀毒修复被感染的exe文件(如果杀毒软件也被感染，请重装杀毒软件以免造成反复感染)

欢迎参加毒霸2008有奖公测活动，大奖是容量为2个G的U盘。

收藏分享评分

回复引用

订阅 TOP

chu830606

新兵

积分: 19
威望: 37
元宝: 0
铜钱: 45

2楼

发表于 2007-11-18 04:23 | 只看该作者

【有奖】金山应该这样做 – 我就是金山的产品经理！

顶一下{58}

回复引用

logogogo最新变种XP.exe的分析（Win32.Logogo）

好东西