當前位置：首頁 > 编程资源 > 编程问答 >内容正文

编程问答

Word/Excel文档伪装病毒-kspoold.exe分析

發布時間：2024/4/11 编程问答 58 豆豆

生活随笔收集整理的這篇文章主要介紹了 Word/Excel文档伪装病毒-kspoold.exe分析小編覺得挺不錯的,現在分享給大家,幫大家做個參考.

一、病毒樣本基本信息

樣本名稱:kspoold.exe

樣本大小: 285184 字節

樣本MD5：CF36D2C3023138FE694FFE4666B4B1B2

病毒名稱:Win32/Trojan.Spy.a5e

計算機系統中了該病毒一個比較明顯的特征就是U盤里的.doc、.xls文件會被病毒隱藏起來，變成kspoold.exe病毒的載體文件，誤導用戶以為是原來的.doc、.xls文件達到傳播病毒的目的，用戶運行該kspoold.exe的載體病毒以后，病毒母體kspoold.exe就會駐留到用戶的電腦里。

二、隱藏了.doc、.xls文檔的衍生病毒的具體行為

1.從該樣本文件的資源中獲取名稱為"UKURAN_EKSTRAKTO"的資源數據，然后解密該數據。

2.創建文件C:\WINDOWS\system32\kspoold.exe釋放到系統目錄C:\WINDOWS\system32下,并運行病毒母體文件kspoold.exe。

3.在該病毒樣本的目錄下，釋放出原來正常的.doc、.xls文件

4.調用函數ShellExecuteA打開原來被隱藏的.doc、.xls文件，給用戶造成假象。

5.通過字符串"COMSPEC"在系統的環境變量中查找到系統cmd.exe程序的路徑"C:\\WINDOWS\\system32\\cmd.exe"

6.調用函數ShellExecuteA在"C:\\WINDOWS\\system32\\cmd.exe"中，執行命令"/c del?\新建Microsoft Word 文檔.exe\"刪除 kspoold.exe的載體病毒例如”新建 Microsoft Word 文檔.exe “文件自身。

三、病毒母體kspoold.exe的具體行為

1.?? 創建可執行文件C:\WINDOWS\system32\avmeter32.dll和C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\UninstallLog.dat。

2.?? 創建下面幾個關鍵的注冊表：

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon\Enum"

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon\Security

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon\Enum"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon\Security

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon"

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_KSPOOLDAEMON\0000\Control"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KSPOOLDAEMON\0000\Control"

3.?? 創建系統服務kspooldaemon, C:\WINDOWS\system32\kspoold.exe然后啟動該系統服務kspooldaemon，系統服務kspooldaemon的作用是守護病毒母體進程kspoold.exe，它會實時的查詢病毒母體進程kspoold.exe是否存在，一旦病毒母體進程kspoold.exe不存在，它就會馬上創建病毒母體進程kspoold.exe。

4.?? 遍歷系統所有程序的進程，找到資源管理器進程explore.exe，然后創建遠程線程注入釋放的C:\WINDOWS\system32\avmeter32.dll文件到資源管理器進程explore.exe中。

5.?? 獲取用戶操作系統的磁盤類型，針對用戶的U盤里的.doc文件和.xls文件進行病毒感染處理，具體的感染處理是獲取.doc文件和.xls的文件的圖標，然后再重新構造一個和原來的.doc文件或者.xls文件同名并且圖標是一樣的載有病毒母體kspoold.exe的.EXE文件。

6.?? 獲取用戶操作系統的鍵盤布局信息以及設置鍵盤的消息鉤子，對用戶的鍵盤消息進行監聽，記錄用戶的鍵盤按鍵的輸入信息。

四、 kspoold.exe病毒專殺的編寫思路

1.?? 關閉并刪除 kspooldaemon系統服務以及刪除C:\WINDOWS\system32\kspoold.exe文件。

2.?? 遍歷系統里的所有程序的進程，查找到kspoold.exe進程然后結束它。

3.?? 刪除下面幾個注冊表：