Win32.OnLineGames.eit木马清除方法

dongfang1017

该样本是使用“VC”编写的盗 号木马，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“20,480 字节”，图标为“
”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为盗取“永恒之塔”网游帐号密码信息。
　用户中毒后，会出现游戏运行缓慢、网络速度降低、游戏无故退出等现象。
感染对象
windows2000以上版本
病毒分析
（1）获得当前进程列表，查找进程aion.bin是否存在，如果找到，终止该进程。
（2）查找名为"AIONClientWndClass1.0"的窗口，检查木马是否运行。如果没有运行，则释放动态链接库%TEMP%\Noy1.tmp, 并将%TEMP%\Noy1.tmp复制到%SystemRoot%\system\Noy1.tmp,设置文件属性为隐藏。
（3） 通过DLL劫持技术，劫持游戏关键动态链接库d3d9.dll,盗取“永恒之塔”网游帐号密码信息,并将获得信息发送到黑客指定网址。
（4） 删除自身，退出当前进程。
　　
病毒创建文件：
   
    %TEMP%\Noy1.tmp
    %SystemRoot%\system\Noy.tmp
    %SystemRoot%\system32\d3d9.dll.rep
    %SystemRoot%\system32\d3d9.dll.bak
    %SystemRoot%\system32\DllCache\d3d9.dll.bak
病毒删除文件：
　　
     %SystemRoot%\system32\d3d9.dll
     %SystemRoot%\system32\d3d9.dll.rep
     %SystemRoot%\system32\d3d9.dll.bak
     %SystemRoot%\system32\DllCache\d3d9.dll
     %SystemRoot%\system32\DllCache\d3d9.dll.bak

解决方案
病毒一般隐藏于用户文档目录，通常为“C:\Documents and Settings”%Temp%　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
手动修复以下文件：
拷贝相同版本文件到:%SystemRoot%\system32\d3d9.dll
拷贝相同版本文件到:%SystemRoot%\system32\DllCache\d3d9.dll
手动删除以下文件：
%TEMP%\Noy1.tmp
%SystemRoot%\system\Noy1.tmp
用优化大师清理一下，重启即可