删除木马PSW.Win32.OnLineGames.eni及分析

病毒名称： Trojan-PSW.Win32.OnLineGames.eni

　　病毒类型： 木马

　　文件 MD5： 2825A71A05F74974D2C88FC709F4721C

　　文件长度： 14,516 字节(脱壳前)/86,016 字节(脱壳后)

　　感染系统： Windows98以上版本

　　病毒描述：

　　该病毒属木马类。病毒运行后，复制自身到%System32%目录下，查看系统文件中是否有该病毒的旧版本，若有则删除rarjbpi.dll文件，在%Windir%和%System32%下衍生文件。修改注册表，添加启动项，以达到随机启动的目的。遍历当前进程，若有进程名为Client.exe则将其关闭，并jian视用户输入信息，发送到指定位置。将rarjbpi.dll文件插入到当前用户下的进程中。病毒运行完毕后删除自身。rarjbpi.dll文件被加载后，修改在注册表，禁用Windows自动更新，在防火墙中添加规则。

　　行为分析：

　　1、文件运行后会释放以下文件

      %System32%\rarjbtl.exe 病毒原始文件副本
　　%System32%\rarjbpi.dll 20,996 字节
　　%System32%\rarjani.dll 15 字节
　　%Windir%\Fonts\chreaur.fon 由于脱壳后，功能受到限制，无法衍生该病毒文件。


　　2、新增注册表

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\

      {2598FF45-DA60-F48A-BC43-10AC47853D52}\inProCserveR32]

　　注册表值："@"

　　类型： REG_SZ

　　值:"C:\WINDOWS\system32\rarjbpi.dll"

　　描述: 为病毒文件设置ID号

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\

      Explorer\ShellExecuteHooks]

　　注册表值："{2598FF45-DA60-F48A-BC43-10AC47853D52}"

　　类型： REG_SZ

　　值："rarjbpi.dll"

　　描述: 将病毒文件的ID号添加到HOOK项中，使其随其他程序启动。

　　注：%Windir%是一个可变路径。病毒通过查询操作系统来决定当前Windows文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt，windows95/98/me中默认的安装路径是C:\Windows，windowsXP中默认的安装路径C:\Windows;%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

　　代码分析

　　1、修改衍生文件rarjbpi.dll的创建日期为2004-4-8

　　

　　2、结束进程名为client.exe的进程

　　

　　3、通过命令行运行自身在%System32%下的副本，具有一定的反调试功能。

删除木马PSW.Win32.OnLineGames.eni及分析文章结束