當(dāng)前位置：首頁(yè) > 编程资源 > 编程问答 >内容正文

编程问答

Word/Excel文档伪装病毒-kspoold.exe分析

發(fā)布時(shí)間：2024/4/11 编程问答 31 豆豆

生活随笔收集整理的這篇文章主要介紹了 Word/Excel文档伪装病毒-kspoold.exe分析小編覺(jué)得挺不錯(cuò)的,現(xiàn)在分享給大家,幫大家做個(gè)參考.

一、病毒樣本基本信息

樣本名稱:kspoold.exe

樣本大小: 285184 字節(jié)

樣本MD5：CF36D2C3023138FE694FFE4666B4B1B2

病毒名稱:Win32/Trojan.Spy.a5e

計(jì)算機(jī)系統(tǒng)中了該病毒一個(gè)比較明顯的特征就是U盤里的.doc、.xls文件會(huì)被病毒隱藏起來(lái)，變成kspoold.exe病毒的載體文件，誤導(dǎo)用戶以為是原來(lái)的.doc、.xls文件達(dá)到傳播病毒的目的，用戶運(yùn)行該kspoold.exe的載體病毒以后，病毒母體kspoold.exe就會(huì)駐留到用戶的電腦里。

二、隱藏了.doc、.xls文檔的衍生病毒的具體行為

1.從該樣本文件的資源中獲取名稱為"UKURAN_EKSTRAKTO"的資源數(shù)據(jù)，然后解密該數(shù)據(jù)。

2.創(chuàng)建文件C:\WINDOWS\system32\kspoold.exe釋放到系統(tǒng)目錄C:\WINDOWS\system32下,并運(yùn)行病毒母體文件kspoold.exe。

3.在該病毒樣本的目錄下，釋放出原來(lái)正常的.doc、.xls文件

4.調(diào)用函數(shù)ShellExecuteA打開原來(lái)被隱藏的.doc、.xls文件，給用戶造成假象。

5.通過(guò)字符串"COMSPEC"在系統(tǒng)的環(huán)境變量中查找到系統(tǒng)cmd.exe程序的路徑"C:\\WINDOWS\\system32\\cmd.exe"

6.調(diào)用函數(shù)ShellExecuteA在"C:\\WINDOWS\\system32\\cmd.exe"中，執(zhí)行命令"/c del?\新建Microsoft Word 文檔.exe\"刪除 kspoold.exe的載體病毒例如”新建 Microsoft Word 文檔.exe “文件自身。

三、病毒母體kspoold.exe的具體行為

1.?? 創(chuàng)建可執(zhí)行文件C:\WINDOWS\system32\avmeter32.dll和C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\UninstallLog.dat。

2.?? 創(chuàng)建下面幾個(gè)關(guān)鍵的注冊(cè)表：

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon\Enum"

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon\Security

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon\Enum"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon\Security

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon"

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_KSPOOLDAEMON\0000\Control"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KSPOOLDAEMON\0000\Control"

3.?? 創(chuàng)建系統(tǒng)服務(wù)kspooldaemon, C:\WINDOWS\system32\kspoold.exe然后啟動(dòng)該系統(tǒng)服務(wù)kspooldaemon，系統(tǒng)服務(wù)kspooldaemon的作用是守護(hù)病毒母體進(jìn)程kspoold.exe，它會(huì)實(shí)時(shí)的查詢病毒母體進(jìn)程kspoold.exe是否存在，一旦病毒母體進(jìn)程kspoold.exe不存在，它就會(huì)馬上創(chuàng)建病毒母體進(jìn)程kspoold.exe。

4.?? 遍歷系統(tǒng)所有程序的進(jìn)程，找到資源管理器進(jìn)程explore.exe，然后創(chuàng)建遠(yuǎn)程線程注入釋放的C:\WINDOWS\system32\avmeter32.dll文件到資源管理器進(jìn)程explore.exe中。

5.?? 獲取用戶操作系統(tǒng)的磁盤類型，針對(duì)用戶的U盤里的.doc文件和.xls文件進(jìn)行病毒感染處理，具體的感染處理是獲取.doc文件和.xls的文件的圖標(biāo)，然后再重新構(gòu)造一個(gè)和原來(lái)的.doc文件或者.xls文件同名并且圖標(biāo)是一樣的載有病毒母體kspoold.exe的.EXE文件。

6.?? 獲取用戶操作系統(tǒng)的鍵盤布局信息以及設(shè)置鍵盤的消息鉤子，對(duì)用戶的鍵盤消息進(jìn)行監(jiān)聽，記錄用戶的鍵盤按鍵的輸入信息。

四、 kspoold.exe病毒專殺的編寫思路

1.?? 關(guān)閉并刪除 kspooldaemon系統(tǒng)服務(wù)以及刪除C:\WINDOWS\system32\kspoold.exe文件。

2.?? 遍歷系統(tǒng)里的所有程序的進(jìn)程，查找到kspoold.exe進(jìn)程然后結(jié)束它。

3.?? 刪除下面幾個(gè)注冊(cè)表：