Trojan.PSW.OnlineGames木马群浅析

winform.exe & winform.dll

               winform.exe这个木马还带了一个winform.dll的动态库，该动态库导出2个函数：fa和fc。ok，一步一步来看看吧。

                winform.exe干的第一件事情是调用mixer系列函数设置静音~。这样一来，如果被Anti-Virus发现了，也没那么容易被察觉。嗯，赞细致~~

                接下来，开启一个线程。该线程是专门为杀毒软件准备的，呵呵~。其工作流程如下图：

                安抚了Anti-Virus以后，Winform才开始了自己的工作。

                首先检查自己是否在windows目录下。如果没有的话，将自己复制一份到windows/winform.exe，然后启动一个新进程：c:/windows/winform.exe @current_file_path@current_process_id，然后就可以退出了。新的进程会检查是否带了命令行启动。如果带了命令行，则根据命令行带的参数信息，强行关闭旧的进程，并且删除其不在windows目录中的本体文件，达到保护自己的目的。

                接下来，就是远程注入winform.dll的工作。首先遍历所有的进程，找到explorer.exe的进程id。如果找不到，则跳到最后的注册表操作。找到explorer.exe以后，winform.exe把自己内部含有的DLL类型资源释放到System32目录下，也就是winform.dll。然后就是一段中规中矩的远程线程注入的处理。最后启动远程线程，使其调用winform.dll中的fa函数，挂了个hook~

               最后，把声音恢复~

               呼呼~~困了~~下次再写winform.dll中的行为~~~

-----------------------------------------------------------------------------------------------------------------------------

               起床啦~~哈哈~~

               winform.dll看了一下，前面被注入到explorer.exe以后，调用了其fa函数，挂了个全局钩子（所以fc函数自然就是卸载钩子啦~ hiahia~~）。然后检查Attach到的新进程是不是my.exe或者gameclient.exe。好像一个是梦幻西游，一个是浩方战网。然后针对各自的信息起了线程作数据处理，没啥意思了。

              杀winform，只要把explore中的winform.dll卸载掉，然后删掉就行了，挺无聊的~

-----------------------------------------------------------------------------------------------------------------------------

wodsttorks.exe & wodsttorks.dll

             wodsttorks.exe和wodsttorks.dll木马的作者和winform.exe的作者显然是同一个人，所有的处理几乎一样，除了wodsttorks.dll中的业务有些差别。wodsttorks.dll处理三个游戏：soul.exe(魔域）、elementclient.exe(完美世界)和gameclient.exe(浩方战网）。

-----------------------------------------------------------------------------------------------------------------------------

wstrrs.exe & wstrrs.dll

             wsttrs.exe和wsttrs.dll跟wodsttorks功能完全一样，也是处理魔域，完美世界和浩方三个游戏。却别在于：wsttrs.exe加了壳。然后wsttrs.dll中有一段通过跟0x96简单异或加密的 url:http://www.lmhlve.com/my/lin.asp，而wodsttorks.dll中的则是 url:http://kikei.com/moyy/lin.asp。估计是干完活提交点数据回去~？呵呵~~

-----------------------------------------------------------------------------------------------------------------------------

upxmdnd.exe & upxmdnd.dll

           注入加载方式同上，区别只是这次是生成到temp目录里面(GetTempPath())。

           upxmdnd.dll处理如下几个程序:zhengtu.at(征途？)，cabalmain.exe(惊天动地~？)和elementclient.exe(完美世界)。

-----------------------------------------------------------------------------------------------------------------------------

mppds.exe & mppds.dll

          注入方式同上，mppds.dll生成在System32目录里，处理wow.exe和elementclient.exe。

-----------------------------------------------------------------------------------------------------------------------------

还有几个其他的库~大致都差不多~~忙~懒得看了