討論 - 好像是蠻新的病毒: mhdoor0.dll

[senchiyo]

最近發現一種病毒,叫mhdoor0.dll,我已經發現了幾種變種,名稱不一定一樣,但變來變去差不多都會有door這個字,不曉得有沒有人中過? 感覺以前沒見過,手法也蠻有趣的。

順便提供解毒方法:

木马 mhdoor0.dll 解决方案
作者:海色の月 　　文章出处:C.I.S.R.T.

病毒名称：Trojan-PSW.Win32.OnLineGames.aci [exe]（Kaspersky）
病毒别名：Trojan.PSW.Win32.WsGame.y [exe]（瑞星）, Trojan.PSW.Win32.WSgame.x [dll]（瑞星）
病毒大小：8,456 字节
加壳方式：UPack
样本MD5：88d5464cfbbedb469b4ede457c9eae78
样本SHA1：8704d8dbf05aba9fdbb4de73a3bc157368b6616c
发现时间：2007.8
更新时间：2007.8.10
关联病毒：
传播方式：恶意网页、其它木马下载

技术分析
==========

网游木马，运行后释放dll到系统目录：
%System%\mhdoor0.dll

创建ShellExecuteHooks启动项：


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{3422FB0F-95EB-458A-8B56-39552017A4EF}"="hook mh"

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-95EB-458A-8B56-39552017A4EF}\InprocServer32]
@="%System%\mhdoor0.dll"
约每半秒重写以上启动信息。

设置注册表信息：

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-458A-8B56-95EB-39552017A4EF}]
"daExeModuleName"="{原文件}"
"daDllModuleName"="%System%\mhdoor0.dll"
"daSobjEventName"="YUTDFGHKHCOOLMH_0"
清除步骤
==========

到down.45it.com下载sreng2.zip（作为备用）和IceSword120_cn.zip(以下简称冰刃)

1. 重命名木马文件（自定义文件名即可）：
%System%\mhdoor0.dll

2. 重新启动计算机

3. 删除重命名过的木马文件（打开冰刃－文件－依次找到病毒文件删除即可）：
%System%\mhdoor0.dll

4. 删除木马创建的ShellExecuteHooks启动项和相关信息（打开冰刃－注册表－依次找到病毒注册表选项删除即可）：


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{3422FB0F-95EB-458A-8B56-39552017A4EF}"

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-95EB-458A-8B56-39552017A4EF}]

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-458A-8B56-95EB-39552017A4EF}]