美杜莎病毒分析报告.PDFVIP

美杜莎病毒分析报告 1 目 录 一、美杜莎病毒传播途径 .........................................2 二、美杜莎病毒的危害 .............................................3 三、美杜莎病毒的详细分析 ......................................3 四、美杜莎病毒毒霸拦截效果 ...................................7 五、美杜莎病毒防御方案 ..........................................8 美杜莎病毒分析报告 2 美杜莎病毒是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪 等心理陷阱进行欺骗而达到获取自身利益为目的的病毒。 图 1.美杜莎病毒伪装成照片的 QQ 文件 一．美杜莎病毒传播途径 美杜莎病毒最常见的传播渠道就是通过 QQ 发送文件，这种文件大小只有 几百 KB。 病毒作者会利用人的欲望和好奇心，将病毒命名为“我的照片”“性感相册” 等名字，引诱网友接收文件传输，一旦网友打开含有美杜莎病毒的文件，电脑就 会中招。 美杜莎病毒分析报告 3 二. 美杜莎病毒的危害 1、美杜莎病毒本质上是一个远程控制后门，首次打开含有病毒的文件，病 毒会强制电脑重启。 2、美杜莎病毒运行后将强制修改系统启动项，每次重启电脑后病毒都会被 运行。 3、美杜莎病毒会强制连接网络上存放病毒的服务器，自动下载病毒到中招 的电脑 4、美杜莎病毒还会对中招的电脑进行键盘记录、视频记录、屏幕截图、修 改 MBR、添加管理员账号、执行任意程序等。 5、最终，中招电脑会被黑客完全控制，沦为肉鸡。 三. 美杜莎病毒详细分析 图 2：美杜莎病毒有统一的执行流程 美杜莎病毒分析报告 4 1、获取电脑上所有有效驱动盘符的信息，包括盘符的类型、??量大小、文 件系统格式，发给远程服务端。 2、截取屏幕图像，发送给远程服务端。 图 3 拷贝屏幕像素矩阵内存 3、通过 devenum 模块提供的接口，收集中毒机器的视频信息，并传回远 程服务器端。 图 4 创建 devenum 对象 4、根据远程服务器端发送的命令弹出一个 MB_ICONINFORMATION 类 型的提示框。 5、获取中毒机器前台窗口，并执行键盘记录，并将记录发送给远程服务端。 美杜莎病毒分析报告 5 图 5 木马 KeyLogger 相关字符串 6、使用远程服务端发送的命令和内容来修改中毒机器的 MBR，而后调整自 身权限使其具有开机权限，最终调用 ExitWindowEx 实现强制重启。 图 5 木马修改 MBR 美杜莎病毒分析报告 6 7 、 使 用 NetUserAdd 在 中 毒 机 器 上 添 加 一 个 用 户 账 号 ， 并 使 用 Net