H4x0r's Blog

这2天老是发现QQ登录异常，于是在进程里看到NTdhcp这样一个陌生进程，网上查找才发下是病毒。

——————————————————————————就是阿拉qq大盗。呵呵。

病毒采用Delphi编写。

病毒运行后有以下行为：
一、将自己复制到%SYSDIR%目录下，文件名为"NTdhcp.exe"。
二、修改注册表以下键值以达到其自启动的目的：
1.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run t
增加数据项："NTdhcp" 数据值为：%SYSDIR%\NTDHCP.EXE

三、查找包含以下字符串的窗体，并将它们关闭：
"卡巴斯基反病毒单机版"
"Symantec AntiVirus 企业版"
"江民杀毒软件 KV2004：实时监视"
"RavMon.exe"
"ZoneAlarm"
"天网防火墙个人版"
"天网防火墙企业版"
"噬菌体"
"木马克星

四、查找并结束以下进程：
FireTray.exe"、"UpdaterUI.exe"、"TBMon.exe"、"SHSTAT.EXE"、"RAV.EXE"、"RAVMON.EXE"、V~1:>
"RAVTIMER.EXE"、"KVXP.KXP"、"KVCENTER.KXP"、"Iparmor.exe"、"MAILMON.EXE"、"KAVPFW.EXE"、xxkaoG
"KVFW.EXE"、"KVMonXP.KXP"、"KAVPLUS.EXE"、"KWATCHUI.EXE"、"KPOPMON.EXE"、"KAV32.EXE"、.,k!;
"CCAPP.EXE"、"MCAGENT.EXE"、"MCVSESCN.EXE"、"MSKAGENT.EXE"、"EGHOST.EXE"、"KRegEx.exe"、$b
"TrojDie.kxp"、"KVOL.exe"、"kvolself.exe"

五、查看当前系统是否存在以下服务：

RsRavMon"、"RsCCenter"、"KVSrvXP"、"kavsvc"、"wscsvc"、"SNDSrvc"、"ccProxy"、"ccEvtMgr"、v)nX
"ccSetMgr"、"SPBBCSvc"、"Symantec Core LC"、"navapsvc"、"NPFMntor"、"MskService"、"jkh
"McTaskManager"、"McShield"、"McAfeeFramework"

如果有，病毒将停止这些服务

六、在后台运行，搜索OICQ登录窗体，试图窃取OICQ登录帐号和密码，并将窃取的信息发送到指定信箱。
********************************************************************************

我发现我中的病毒是发邮件到:.
alasend@citiz.net 和 ouxasa@citiz.net 邮箱的

此病毒会可能在 %windir% 目录下生成另一个病毒 explroer.exe

并且在 %windir% 目录下生成 ala2qq 这个文件。里面记录得十分详细！内容如下：
----------------------------------------------------------------------------------------------/
[QQ]
1000QQpW =ok
[PC]
addr=<ul class="ul1"><li>查询结果1：**省 **市 电信</li><li>查询结果2：*地址* / ADSL</li></ul>s
ip=***.***.***.***
----------------------------------------------------------------------------------------------
其中 1000 是 QQ 号。 QQpW 是密码！|UD>B}
其它具体内容我用 * 号代替了！I

这个木马文件很小
才27.6k,显然是压缩加壳过的,我手头上几个解壳软件都比较老旧,也懒得上网下新的,就用winhex吧
打开winhex,工具,rom编辑器,找到NTdhcp.exe,把其所有的内存都保存下来,道理很简单,不管你怎么压缩加壳,一旦进了内存,总是要自己解开