logogogo最新变种XP.exe的分析（Win32.Logogo）

作者：清新阳光                                                          ( http://hi.baidu.com/newcenturysun)
日期：2007/11/17                                                       (转载请保留此声明) ! M, f, r- b2 h

这是之前logogo.exe病毒的最新变种，此次变种可谓是该系列病毒的一个标志性的变种，如同原先的crsss化身成为“禽兽”病毒一样...3 l+ u" b6 _& v0 W) L" o6 M

技术细节：
File: logogogo.exe% `( C8 j7 z* O/ _. p
Size: 17196 bytes
Modified: 2007年11月17日, 10:06:48
MD5: CBD42479BD49AEB0E839B3D4F116516B
SHA1: F1DC3254693CC11C70BCDCB2EC124BD82E550AC5# R5 Q( l. u7 f1 _+ D
CRC32: 9510B8CC! `, b* ~+ ^# v
加壳方式：Upack 0.3.9
AV命名：Win32.Logogo.a（瑞星）

1.病毒有两个参数启动自身# ^( T1 W. a4 B. \
-down 和-worm分别执行的是下载和感染操作

2.衍生如下副本：
%systemroot%\system\logogogo.exe
在每个磁盘分区根目录下释放XP.exe和autorun.inf达到通过移动存储传播的目的
, n8 q; a" [2 q" M8 q
3.创建注册表启动项目9 C8 i4 l: o, g7 b9 x$ T- P
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
<logogogo><%systemroot%\system\logogogo.exe> []& b8 f' ]. i4 e; A3 Q& w, H
达到开机启动的目的
在HKLM\SOFTWARE下面创建logogo子键，用以记录病毒安装成功的信息。
. o+ K  Y. ~; R9 r! w
4.在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下面创建映像劫持项目，指向病毒本身。! w- o, P3 m$ K5 p9 h+ {, e
360rpt.exe
360Safe.exe, j* S7 u+ o; F
360tray.exe  @* ~! j0 U8 A. Y4 L; x
ACKWIN32.EXE
ANTI-TROJAN.EXE4 {. f+ t4 T9 q& W& f
APVXDWIN.EXE" O( _) D/ h6 |/ ?( _. j
AUTODOWN.EXE& Y5 J) A4 O! O
AVCONSOL.EXE% d: D  z7 M- D# L' b: {' j
AVE32.EXE
AVGCTRL.EXE
AVKSERV.EXE/ e5 h7 G) {/ T! ]; `5 u
AVNT.EXE
AVP.EXE
AVP32.EXE. A3 y, R) ?/ c; Y4 t
AVPCC.EXE
AVPDOS32.EXE) {' Z+ c/ g, Y: r; G" Q1 {
AVPM.EXE
AVPTC32.EXE
AVPUPD.EXE6 Q' l0 z, H8 `4 ^+ J/ }: @/ N
AVSCHED32.EXE
AVWIN95.EXE
AVWUPD32.EXE
BLACKD.EXE
BLACKICE.EXE( ^- J, E) b, s7 D3 U+ i( O
CFIADMIN.EXE4 E- J* q( F2 _; k! ~( P6 D
CFIAUDIT.EXE, e  l+ b; n. R# e
CFINET.EXE
CFINET32.EXE" W) M$ S# J' H5 Z
CLAW95.EXE
CLAW95CF.EXE
CLEANER.EXE
CLEANER3.EXE1 j) i3 F+ S0 r3 ^
DVP95.EXE
DVP95_0.EXE' O. K5 F! ^, `( J: B& L1 `  e
ECENGINE.EXE' `3 q9 u; g2 [$ Y
EGHOST.EXE. a/ \! B+ i* G" H0 A
ESAFE.EXE- w. V2 B9 F5 B2 {2 j, t
EXPWATCH.EXE
F-AGNT95.EXE
F-PROT.EXE
F-PROT95.EXE! B5 }  y4 ^. a0 @
F-STOPW.EXE2 g* i8 }7 A3 _- Q
FESCUE.EXE" M" Y( C; }1 ?
FINDVIRU.EXE- I8 @1 v5 E/ ~1 r/ t9 s
FP-WIN.EXE) r) Q' k- e" K. v) V
FPROT.EXE8 |! F; H1 d+ Y1 I- t
FRW.EXE
IAMAPP.EXE9 e( }6 E, L$ N' e& v
IAMSERV.EXE
IBMASN.EXE
IBMAVSP.EXE4 v5 Q& A3 b2 w$ d* t5 R$ R  X9 X
ICLOAD95.EXE/ P2 a2 n- A6 Z$ O7 d3 N- y
ICLOADNT.EXE
ICMON.EXE* e* b7 q1 p3 a" I+ F! q* a
ICSUPP95.EXE0 _$ w; q7 ~& [4 B# p
ICSUPPNT.EXE
IFACE.EXE
IOMON98.EXE
Iparmor.exe3 e3 E1 ~  y- ]
JEDI.EXE
KAV32.exe" V4 [* \5 F  y
KAVPFW.EXE
KAVsvc.exe
KAVSvcUI.exe
KVFW.EXE
KVMonXP.exe" L! I1 D4 [( l
KVMonXP.kxp
KVSrvXP.exe; o) J1 L" U, d! ]  e& E2 N8 r) h
KVwsc.exe; c3 J5 J4 V  [* w. O" U& v
KvXP.kxp
KWatchUI.EXE& ^) D8 i) b% M7 x- e
LOCKDOWN2000.EXE, o! m( b! x! n$ B
Logo1_.exe
Logo_1.exe
LOOKOUT.EXE
LUALL.EXE5 P2 Q$ @$ a( H& Z8 B- a; [3 d. k. D
MAILMON.EXE
MOOLIVE.EXE7 q8 c% K: W% W  y* M- M- [
MPFTRAY.EXE5 v* A0 @" D4 M0 W) I6 {& @
N32SCANW.EXE( k; E1 x8 d( ^. |2 _. ~8 U3 W
Navapsvc.exe
Navapw32.exe
NAVLU32.EXE
NAVNT.EXE
navw32.EXE3 C2 N! |# J* N! E( P
NAVWNT.EXE
NISUM.EXE
NMain.exe( F# d. p$ K* Q5 r: X
NORMIST.EXE' ]0 g9 G1 ~5 D# ?. \* I
NUPGRADE.EXE
NVC95.EXE
PAVCL.EXE
PAVSCHED.EXE
PAVW.EXE. t: q+ f! b# y
PCCWIN98.EXE" v  H' e( @; b
PCFWALLICON.EXE5 s+ g0 u) c) r3 _" O% T9 V
PERSFW.EXE/ B8 L4 m# L6 ]0 w. b/ x7 e
PFW.EXE0 m# Q2 V. k% H* }% `7 n# Q8 a+ g
Rav.exe
RAV7.EXE3 T+ z. L9 f1 r
RAV7WIN.EXE% N& v- d3 l, B
RAVmon.exe" K; v* Q( Z7 u
RAVmonD.exe- ?0 \/ U/ G% L# q
RAVtimer.exe
Rising.exe, E" U& e" i& J# r1 P
SAFEWEB.EXE
SCAN32.EXE, V  }6 x1 |- L& D# E- |
SCAN95.EXE2 q, ^& S/ B/ d- W' V+ t  S
SCANPM.EXE0 t+ n1 D; |. l/ r3 Y
SCRSCAN.EXE
SERV95.EXE
SMC.EXE7 ]3 g9 s+ }) N+ e, z# f
SPHINX.EXE# w+ S% W/ p0 A- d4 S( Z
SWEEP95.EXE9 E) Y2 ?: V+ ?+ ~' x  s
TBSCAN.EXE
TCA.EXE
TDS2-98.EXE
TDS2-NT.EXE
THGUARD.EXE
TrojanHunter.exe
VET95.EXE
VETTRAY.EXE1 j7 X1 V3 N2 ~" q
VSCAN40.EXE6 O+ A, m7 J! o; G6 [
VSECOMR.EXE1 F( h5 @  k- v% m" L
VSHWIN32.EXE( ]1 n5 b& p( d  e) \
VSSTAT.EXE
WEBSCANX.EXE4 y& v7 j% [" v0 [0 k
WFINDV32.EXE
ZONEALARM.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
修复工具.exe

5.感染除如下文件夹内的*.exe文件
windows
winnt
recycler3 f* r, h# H8 ]( b7 P" n
system volume information
! i8 s, v# B/ |5 T4 z7 M
并不感染如下exe文件
XP.EXE 4 V) j/ o. _) K
CA.exe
NMCOSrv.exe ! G" ]# P# s& A  Y; F# {9 V4 f7 N- e' A
CONFIG.exe
Updater.exe ! M0 G7 A1 P2 y# u/ W
WE8.exe 7 [$ V8 P/ |: f( Q5 S% h
settings.exe 8 P5 S6 [- e+ E1 Q5 j2 W3 X
PES5.exe " o) g: t( Q& m( d7 F# }+ q
PES6.exe , ~, P  o" J2 Q0 i
zhengtu.exe* a, Y0 P7 R3 n& ?6 R$ c
nettools.exe
laizi.exe 8 ^$ v4 W1 d" e8 r* O6 W# O. @
proxy.exe
Launcher.exe 9 ~) v# R/ s. B1 ]
WoW.exe
Repair.exe $ @. h' }0 D  f, z' o% ?- h% p0 U
BackgroundDownloader.exe
o2_unins_web.exe - b5 i: Y& @+ }! C. D
O2Jam.exe ) q9 l: A8 E% E: d$ H) u' I7 ?" Q
O2JamPatchClient.exe & q& P( {$ z5 ?4 U$ u
O2ManiaDriverSelect.exe 3 K0 ?- F' f4 ?+ _6 Q/ H- U" E
OTwo.exe
sTwo.exe6 a' y, z. k, }: V0 |( j4 P
GAME2.EXE
GAME3.EXE
Game4.exe 6 d$ R3 ]4 }5 l' V
game.exe
hypwise.exe 4 U& T4 P6 K- M: Q  |5 @* v
Roadrash.exe
O2Mania.exe
Lobby_Setup.exe4 `5 N3 f3 X4 \9 P
CoralQQ.exe 0 v6 j: z$ ?/ b# Y9 _
QQ.exe
QQexternal.exe ' T. S9 C$ `) K! Z  \' H' v
BugReport.exe   V- z! k, K/ `- D* l6 ~" P" O, S
tm.exe   H* g2 n7 E1 j9 Z6 c
ra2.exe
ra3.exe , w2 G4 g( w/ U( Q/ p
ra4.exe
ra21006ch.exe  f+ i" y) U% ]# @" ]" @  K
dzh.exe 0 u3 Y" o4 A* O: v2 ~; w3 r, }
Findbug.EXE
fb3.exe ; K8 j) `  D( O1 r1 V9 G2 N
Meteor.exe
mir.exe
KartRider.exe $ H7 }+ V- {* E8 d! F- @6 i
NMService.exe % h( t- h: {. s
AdBalloonExt.exe1 {' i! f4 }9 Q/ }* x/ F
ztconfig.exe
patchupdate.exe
$ K8 w8 t7 e, x' e
被感染文件尾部被加入一个名为.ani的节。被感染文件运行后会释放一个名为ani.ani的临时文件并运行，该文件即为病毒主体logogogo.exe2 B- k" M: I7 K0 q, N

6.连接网络下载木马
读取http://dow.*.us/xxx.txt的下载列表
然后下载" m: \) t  ]" p9 w9 e' Y
http://dow.*.com/1.exe~http://dow.*.com/20.exe到%systemroot%\system下面
并以SYSTEM128.tmp作为下载文件过程中的临时文件

7.病毒同时会获得当前机器名，操作系统版本，MAC地址等信息
" G7 J+ _$ t- M: Y  ?$ \+ T
8.病毒体内留有作者留下的广告信息：“出售下载者 QQ 2892*”

5 _" X5 K# z& k* J# H1 {
病毒木马植入完毕后的sreng日志如下：# o0 {; x9 o2 ^+ l

启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<logogogo><%systemroot%\system\logogogo.exe> []0 e& y' s( d5 ]7 f: ^  P/ W/ l
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]* [9 `+ l7 u8 x* O# }
<AppInit_DLLs><kvdxsima.dll> []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]: [- I' V3 ^' F7 O
<{8E32FA58-3453-FA2D-BC49-F340348ACCE8}><%systemroot%\system32\rsmyhpm.dll> []
<{A2AC7E3B-30BE-466f-8BAB-1FF9DADD8C7D}><%systemroot%\system32\KVBatch01.dll> []
<{5A321487-4977-D98A-C8D5-6488257545A5}><%systemroot%\system32\kapjezy.dll> []
<{5A1247C1-53DA-FF43-ABD3-345F323A48D5}><%systemroot%\system32\avwgemn.dll> []4 |0 d+ X2 l0 |" C7 S8 G
<{6859245F-345D-BC13-AC4F-145D47DA34F6}><%systemroot%\system32\avzxfmn.dll> []! Z" E1 \8 z5 y. F
<{4960356A-458E-DE24-BD50-268F589A56A4}><%systemroot%\system32\avwldmn.dll> []
<{5598FF45-DA60-F48A-BC43-10AC47853D55}><%systemroot%\system32\rarjepi.dll> []' B8 r1 e; L/ F1 e8 N+ p: t
<{A6650011-3344-6688-4899-345FABCD156A}><%systemroot%\system32\ratbjpi.dll> []
<{38907901-1416-3389-9981-372178569983}><%systemroot%\system32\kawdczy.dll> []
<{9D561258-45F3-A451-F908-A258458226D9}><%systemroot%\system32\kvdxsima.dll> []& P7 Z& s. G" Z1 }# q5 ^
<{44783410-4F90-34A0-7820-3230ACD05F44}><%systemroot%\system32\raqjdpi.dll> []
<{97D81718-1314-5200-2597-587901018079}><%systemroot%\system32\kaqhizy.dll> []# `& m3 S, I  M% G; C& n
<{38847374-8323-FADC-B443-4732ABCD3783}><%systemroot%\system32\sidjczy.dll> []2 K, r& E( l- @, E8 N! U
<{8D47B341-43DF-4563-753F-345FFA3157D8}><%systemroot%\system32\kvmxhma.dll> []
<{24909874-8982-F344-A322-7898787FA742}><%systemroot%\system32\swjqbzc.dll> []4 F5 }  [& s6 C- `
<{A12C8D43-AC10-4C17-9136-E3E2FC9B3D21}><%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys> []: F- Y* e+ O- `

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe]
<IFEO[360rpt.exe]><%systemroot%\system\logogogo.exe> []! d+ U# K3 Z1 _4 h
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe]2 Q( ]! s" w3 V4 M
<IFEO[360Safe.exe]><%systemroot%\system\logogogo.exe> []...! ?4 q9 N5 U( y- @4 x; ]/ M! |& l
! h% C8 \# o# z3 t; s6 {  g( d
==================================
正在运行的进程
[PID: 1724][%systemroot%\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[%systemroot%\system32\rsmyhpm.dll] [N/A, ]7 f$ p; `4 b% h+ U& t
[%systemroot%\system32\KVBatch01.dll] [N/A, ]. K4 `. j" Q. ~3 B$ ]8 k
[%systemroot%\system32\kapjezy.dll] [N/A, ]
[%systemroot%\system32\avwgemn.dll] [N/A, ]; ^6 m. X2 J5 Q
[%systemroot%\system32\avzxfmn.dll] [N/A, ]
[%systemroot%\system32\avwldmn.dll] [N/A, ]
[%systemroot%\system32\rarjepi.dll] [N/A, ]
[%systemroot%\system32\ratbjpi.dll] [N/A, ]
[%systemroot%\system32\kawdczy.dll] [N/A, ]* T% A( ]' G6 c- o4 N0 B
[%systemroot%\system32\kvdxsima.dll] [N/A, ]9 y& ?8 k( L5 c% E: I& n; O5 q
[%systemroot%\system32\raqjdpi.dll] [N/A, ]  `. u! [( [* J9 }+ W3 }& U
[%systemroot%\system32\kaqhizy.dll] [N/A, ]+ N; K0 T# Y+ ?
[%systemroot%\system32\sidjczy.dll] [N/A, ]! O6 C6 [8 `7 d' ], P# M
[%systemroot%\system32\kvmxhma.dll] [N/A, ]
[%systemroot%\system32\swjqbzc.dll] [N/A, ]
[%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys] [N/A, ]/ q" I' X% t0 r  v' k  h: g
==================================# \! ^! K. g7 C* t
Winsock 提供者
MSAPI Tcpip [TCP/IP]
%systemroot%\system32\qdshm.dll(, N/A)& l+ Y% S; C- w: P9 O* B
MSAPI Tcpip [UDP/IP]- g, X4 I& w  t* m
%systemroot%\system32\qdshm.dll(, N/A)4 x6 O; c( x3 @6 O% F
==================================
Autorun.inf
[C:\]2 u7 I/ T8 F# X: A6 q/ Q
[AutoRun]
OPEN=XP.EXE
shellexecute=XP.EXE8 r/ K% [& {% D  B
shell\打开(&O)\command=XP.EXE% y4 {; c0 k0 `" Q
[D:\]
[AutoRun]
OPEN=XP.EXE
shellexecute=XP.EXE
shell\打开(&O)\command=XP.EXE...- V/ G1 t  K' P$ L6 a. ^" `

解决办法：& _8 h, f7 K3 G, [
下载sreng:http://download.kztechs.com/files/sreng2.zip8 b8 d7 n* p8 @2 @' t: ]& A
Xdelbox:http://www.dodudou.com/down/里面的原创软件文件夹下

首先重启计算机进入安全模式下(开机后不断按F8键然后出来一个高级菜单选择第一项安全模式进入系统)
分别解压Xdelbox和sreng
(注意：如果winrar也被感染，请重装winrar后再解压文件,推荐重装winrar)
+ n% Y( |& p- Y( n# T
1.打开sreng
启动项目注册表删除如下项目
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 2 K4 Z, J- @7 _% B
<logogogo><%systemroot%\system\logogogo.exe> []. F/ C& v$ k0 ]$ k  H* v2 m

并删除所有红色的IFEO项目' N! Q% g) X+ r
! e5 e/ [0 M0 V4 a& |( w& ~
修复－系统修复－重置winsock
# Z3 ^8 [: _( x, j& \
2.解压Xdelbox所有文件到一个文件夹
在添加旁边的框中分别输入
%systemroot%\system32\rsmyhpm.dll
%systemroot%\system32\KVBatch01.dll
%systemroot%\system32\kapjezy.dll- S! X9 Q  O: |
%systemroot%\system32\avwgemn.dll
%systemroot%\system32\avzxfmn.dll
%systemroot%\system32\avwldmn.dll6 ^2 @/ S8 J* s+ \3 N* U
%systemroot%\system32\rarjepi.dll
%systemroot%\system32\ratbjpi.dll& X4 k4 D( J3 w
%systemroot%\system32\kawdczy.dll( z1 E7 J2 M/ z, ?& |  D
%systemroot%\system32\kvdxsima.dll, b/ a! O' g" Z& @7 s* f% F
%systemroot%\system32\raqjdpi.dll% j! a2 r+ A/ I* J4 _" u* R
%systemroot%\system32\kaqhizy.dll
%systemroot%\system32\sidjczy.dll
%systemroot%\system32\kvmxhma.dll
%systemroot%\system32\swjqbzc.dll$ t# Z7 F. T$ z4 y
%Program Files%\Internet Explorer\PLUGINS\Wn_Sys8x.Sys, G: l! o8 @4 m! I5 |: H3 e
输入完一个以后点击旁边的添加按钮被添加的文件将出现在下面的大框中
然后一次性选中（按住ctrl)下面大框中所有的文件3 {/ n5 |+ F! f
右键单击点击重启立即删除9 S) q1 X$ C9 e4 q& O6 \
1 L) r% O- I) \( y
3.重启计算机后
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
点击菜单栏下方的文件夹按钮（搜索右边的按钮）
在左边的资源管理器中单击打开系统所在盘! W4 H- a! C' X% V* r
删除%systemroot%\system\logogogo.exe
%systemroot%\system32\qdshm.dll4 p- {6 {; l9 y& [4 C% F

在左边的资源管理器中单击打开每个盘
删除各个盘根目录下的XP.exe和autorun.inf
! Q# V/ V% A8 o8 c
4.打开sreng ( M3 C8 P0 p) P5 h6 [* i
启动项目注册表 3 D( F% L& Y) _+ f& t/ Q( o5 P
双击AppInit_DLLs把其键值清空
1 I7 ?* m; A1 X7 G; K
5.使用杀毒软件全盘杀毒修复被感染的exe文件(如果杀毒软件也被感染，请重装杀毒软件以免造成反复感染)

欢迎参加毒霸2008有奖公测活动，大奖是容量为2个G的U盘。

logogogo最新变种XP.exe的分析（Win32.Logogo）

好东西