Novell迷

一、样本信息

木马名称:Trojan.OnlineGame.Mhzx  
样本名字:  
           mhzx.exe   
           gameclien.exe(执行后自动复制更名)  
           sougou.ime  
文件大小:  
           mhzx.exe  31.5 KB (32,256 字节)  
           sougou.ime  26.5 KB (27,136 字节)  
文件校验:  
           mhzx.exe MD5：A55AB087477D92E11DDC5BE6A066C03E  
           sougou.ime MD5：D59AF8FE7A13C1C81BD1D9565E7B173D  
加壳方式：无壳 
 
本文引用自http://novell.me
 

二、现象描述
1.system32目录下会多出以下三个文件sougou.ime(真正的搜狗输入法为sougoupy.ime),mhzxin.bat,mhzx.reg,mhzx.bat,以及C:\Program
Files\WLmhzx\gameclien.exe．
2.打开输入法管理器会,点击属性会 弹出提示框:"windows标准输入法扩展服务 v1.0"如图1所示:
  Novell迷网站內容，版权所有

  CopyRight http://novell.me

三、木马行为 Novell迷，迷Novell

该木马通过网页挂马，下载者下载执行，或者外挂捆绑在用户机器执行。 本文转载自http://novell.me

1.将自身复制到c:\\Program Files\WLmhzx\目录下，并更名为gameclien.exe.生成1.bat批处理删除当前文件，并执行C:\Program
Files\WLmhzx\gameclien.exe,

2.从C:\Program
Files\WLmhzx\下执行后会，在system32目录下生成以下4个文件，并执行mhzxbin.bat。
mhzx.bat
  内容来自Novell迷网站

start "" "C:\Program Files\WLmhzx\gameclien.exe" 
 
本文引用自Novell迷网站
 

mhzx.reg
  Novell迷网站內容，版权所有

Windows Registry Editor Version 5.00  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{12345678-b1gf-14d0-89bb-0090ce808666}]  
"StubPath"="C:\\WINDOWS\\system32\\mhzx.bat"  
[-HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{12345678-b1gf-14d0-89bb-0090ce808666}] 
 版权所有,未经Novell迷允许，不得转载! 

mhzxin.bat

内容来自http://novell.me

regedit.exe /s mhzx.reg 
 内容来自http://novell.me 

sougon.ime为梦幻诛仙盗号主程序。安装，注册为输入法，打开输入法管理器会多出一项:英文(美国)。
点属性，会弹出上面的那个图示，然后再广播WM_INPUTLANGCHANGEREQUEST消息，将该木马输入法加载到所有窗口的进程中。 Novell迷网站原创内容，未经允许，谢绝转载!

四、木马特点
该木马除了跟上次所说的DNF假输入法木马一样外，比他要更难清除．
其使用了一般很少安全软件留意的加载项，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components,而且就算安全软件发现了该加载项有问题，
其调用执行的是一个bat,真实执行的并不在system32目录，而是C:\Program Files\WLmhzx\gameclien.exe木马加载器．

五、清除方法
大家可以找到这些文件后(system32目录下的sougou.ime,mhzxin.bat,mhzx.reg,mhzx.bat,以及C:\Program
Files\WLmhzx\gameclien.exe．)使用巨盾文件粉碎工具强行删除，再使用输入法管理器删除上面所述的输入法即可．
注册表方面，可以使用注册表管理器清除[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\下子键{12345678-b1gf-14d0-89bb-0090ce808666}]所有内容．