病毒标签

　　病毒名称： Trojan-GameThief.Win32.OnLineGames.tkyl

　　病毒类型： 木马

　　文件 MD5： 5A61EFA9B4B731BD787FF75238CB1D7C

　　公开范围： 完全公开

　　危害等级： 3

　　文件长度： 12,416 字节

　　感染系统： Windows98以上版本

　　开发工具： Microsoft Visual C++

　　加壳类型： Upack0.37

　　病毒描述

　　该病毒属于盗号类木马，病毒运行后，首先在%WinDir%MayaBaby目录下创建MayaBabyDll.dat、rizxw.dat；停止Beep服务，复制rizxw.dat替换原系统文件beep.sys，然后执行Beep服务，这样系统重新启动时，原系统服务Beep便会加载被替换了的驱动文件rizxw.dat；恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效；随后复制自身到%WinDir%MayaBaby下，新增注册表项，创建病毒服务network services，已达到随机启动病毒文件的目的；通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程；在%System32%下生成me.bat，用于删除原病毒文件和自身。

　　行为分析-本地行为

　　1、 文件运行后会释放以下文件

　　%WinDir%MayaBabyMayaBabyDll.dat 　　　　　　　　　　 11,776字节

　　%WinDir%MayaBabyMayaBabyMain.exe 　　　　　　　　　　12,416 字节

　　%WinDir%MayaBabyrizxw.dat 　　　　　　　　　　 　　　2,560字节

　　%System32%dllcachebeep.sys 　　　　　　　　　　 　　 2,560字节

　　%System32%driversbeep.sys 　　　　　　　　　　 　　　2,560字节

　　2、 新增注册表，创建病毒服务Network Services

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： " DisplayName "

　　类型： REG_SZ

　　字符串： "网络服务"

　　描述： 服务名称

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： "ImagePath"

　　类型： REG_SZ

　　字符串： " C:WINDOWSMayaBabyMayaBabyMain.exe"

　　描述：服务的映像文件的启动路径

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： "ObjectName"

　　类型： REG_SZ

　　字符串： "LocalSystem"

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： "Start "

　　类型： DWORD

　　值： 2

　　描述：服务的启动方式为自动

　　3、 恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效。

　　4、 通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程。

　　5、 在%System32%下生成me.bat，在病毒执行完自身代码后，用于删除原病毒文件和自身。

　　注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。

　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录

　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录

　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录

　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区

　　%Documents and Settings% 　　　 当前用户文档根目录

　　%Temp% 　　　　　　　　　　　　Documents and Settings

　　　　　　　　　 当前用户Local SettingsTemp

　　%System32% 　　　　　　　　　　 系统的 System32文件夹

　　Windows2000/NT中默认的安装路径是C:WinntSystem32

　　windows95/98/me中默认的安装路径是C:WindowsSystem

　　windowsXP中默认的安装路径是C:WindowsSystem32　

　　清除方案

　　1、使用安天防线可彻底清除此病毒(推荐)，请点击下载。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool管理工具，请点击下载。

　　(1) 使用ATOOL“进程管理”关闭病毒进程。

　　(2) 删除病毒文件

　　%WinDir%MayaBabyMayaBabyDll.dat

　　%WinDir%MayaBabyMayaBabyMain.exe

　　%WinDir%MayaBabyrizxw.dat

　　%System32%dllcachebeep.sys

　　%System32%driversbeep.sys

　　(3) 删除病毒添加的注册表项

　　删除HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下的Network Services子键