假外掛“奪標外掛網”分析報告（更新一次）

此假外掛使用的是2007年6月9日的木馬程式
木馬MD5碼：78401d8dc7b888c85ab40edc3813a5dc
木馬名：Trojan-PSW.Win32.Maran.gb
加密方式：PE_PATCH, UPACK

分析：
此木馬無法使用NOD32掃到，卡巴可以正常掃到。此假外掛網的木馬暫時是讓會員下載後開啟才能執行木馬程式。
此木馬會自動寫入：
C:\WINDOWS\system32\drivers\ws2ifsl.sys
c:\windows\system32\od1mid.dll
c:\windows\system32\delplme.bat
C:\WINDOWS\avp.exe
自動使用CMD執行delplme.bat
cmd /c delplme.bat
delplme.bat中的代碼為：

1. @echo off
   
2.   :loop
   
3. 
   
4. del "F:\木馬\jfy.exe"
   
5. 
   
6. if exist "F:\木馬\jfy.exe" goto loop
   
7. 
   
8. C:\WINDOWS\system32\jfy.exe
   
9. 
   
10. del delplme.bat

複製代碼

木馬程式：od1mid.dll
木馬名：Trojan-PSW.Win32.Magania.qn
木馬MD5碼：3418c7fb66fd73194755840eca8bba62

1.自動記錄以下網頁登錄過的帳號與密碼。
https://tw.gash.gamania.com/GASHLogin.aspx
http://tw.gashcard.gamania.com
https://tw.gash.gamania.com/
http://tw.gamania.com
https://tw.login.gamania.com
https://tw.goodlock.gamania.com
https://tw.login.gamania.com/home_login.asp
2.自動記錄fairyclient.exe（洛汗）登入過的帳號與密碼與伺服器
3.自動記錄YAHOO.com（奇摩）登入過的帳號與密碼
4.自動記錄WSM.exe（華義登入器）登入過的帳號與密碼

木馬外掛網全站圖