超级巡警团队监测到恶意程序Trojan.Win32.Runner.bh，该病毒为木马程序，运行后释放并下载大量盗号木马，关闭360保险箱的监控，使360保险箱失效，盗号木马盗取用户游戏账号，给用户的财产带来损失。超级巡警建议用户使用超级巡警保险箱来保证游戏账号的安全，同时提醒广大用户及时更新病毒库，对该程序进行有效查杀。

 

一、病毒相关分析：
       病毒标签：
          病毒名称：Trojan.Win32.Runner.bh
          病毒类型：木马
          危害级别：3
          感染平台：Windows
          病毒大小：35,328 字节
          SHA1　：  A342F41A75CD1347664093C5FB53782623B95DB3
          加壳类型：UPX
          开发工具：Microsoft Visual C++

 

       病毒行为：
          1、病毒运行以后释放其他病毒文件。
               %system%\drivers\winsawids.sys
               %Temp%\309657(随即名)
               %system%\System.exe

 
          2、遍历进程，如果存在kavstart.exe、safeboxtray、360Tray进程，就将其结束。

 

          3、添加注册表服务相关键值，使病毒随windows启动时加载。
               HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
               值："System.exe"
               HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
               注册表项：AppInit_DLLs
               值：  HBmhly.dll、HBWOW.dll、HBJTLQ.dll、HBTL.dll、HBDNF.dll、HBQQXX.dll

 

          4、添加注册表服务相关键值，加载驱动，并创建一个名为"\\.\Delkil"的设备与驱动文件交互。
               HKLM\SYSTEM\CurrentControlSet\Services\Kisstusb
               路径："%system%\drivers\winsawids.sys"

 
          5、将DLL文件(盗号木马)注入explorer.exe、system.exe等进程。

 

          6、下载文件：hxxp://www.oi***.net/ko.txt
               根据该文件下载并运行以下文件
               hxxp://61.164.118.***/new/new1.exe
               hxxp://61.164.118.***/new/new2.exe
               hxxp://61.164.118.***/new/new3.exe
               hxxp://61.164.118.***/new/new4.exe
               hxxp://61.164.118.***/new/new5.exe
               hxxp://61.164.118.***/new/new6.exe
               hxxp://61.164.118.***/new/new7.exe
               hxxp://61.164.118.***/new/new8.exe
               hxxp://61.164.118.***/new/new9.exe
               hxxp://61.164.118.***/new/new10.exe
               hxxp://61.164.118.***/new/new11.exe
               hxxp://61.164.118.***/new/new12.exe
               hxxp://61.164.118.***/new/new13.exe
               hxxp://61.164.118.***/new/new14.exe
               hxxp://61.164.118.***/new/new15.exe
               hxxp://59.34.216.***/new/new16.exe
               hxxp://59.34.216.***/new/new17.exe
               hxxp://59.34.216.***/new/new18.exe
               hxxp://59.34.216.***/new/new19.exe
               hxxp://59.34.216.***/new/new20.exe
               hxxp://59.34.216.***/new/new21.exe
               hxxp://59.34.216.***/new/new22.exe
               hxxp://59.34.216.***/new/new23.exe
               hxxp://59.34.216.***/new/new24.exe
               hxxp://59.34.216.***/new/new25.exe
               hxxp://59.34.216.***/new/new26.exe
               hxxp://59.34.216.***/new/new27.exe
               hxxp://59.34.216.***/new/new28.exe
               hxxp://59.34.216.***/new/new29.exe
               hxxp://59.34.216.***/new/new30.exe
               hxxp://59.34.216.***/new/new31.exe
               hxxp://59.34.216.***/new/new32.exe
               hxxp://59.34.216.***/new/new33.exe
               hxxp://59.34.216.***/new/new34.exe

 

          推荐方案：安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
                         超级巡警下载地址：http://www.sucop.com/download/16.html

          手工清除方法：
                 1、删除病毒生成的文件。
                         %system%\System.exe
                         %Temp%\309657(随即名)
                         %system%\System.exe
                 2、删除病毒添加的注册表项。
                         HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
                         值："System.exe"

                         HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows AppInit_DLLs
                         值：HBmhly.dll、HBWOW.dll、HBJTLQ.dll、HBTL.dll、HBDNF.dll、HBQQXX.dll

 

三、安全建议
          1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
          2、禁用不必要的服务。
          3、不要随便打开不明来历的电子邮件，尤其是邮件附件。
          4、不要随意下载不安全网站的文件并运行。
          5、下载和新拷贝的文件要首先进行查毒。
          6、不要轻易打开即时通讯工具中发来的链接或可执行文件。
          7、使用移动存储介质进行数据访问时，先对其进行病毒检查，建议使用超级巡警U盘免疫器进行免疫。

 

注： %System% 是一个可变路径，在windows95/98/me中该变量是指%Windir%System，
在WindowsNT/2000/XP/2003/VISTA中该变量指%Windir%System32。其它：
              %SystemDrive%                                                             系统安装的磁盘分区
              %SystemRoot% = %Windir% WINDODWS                     系统目录
              %ProgramFiles%　                                                         应用程序默认安装目录
              %AppData%                                                                   应用程序数据目录
              %CommonProgramFiles%                                              公用文件目录
              %HomePath%                                                                当前活动用户目录
              %Temp% =%Tmp%                                                        当前活动用户临时目录
              %DriveLetter%                                                               逻辑驱动器分区
              %HomeDrive%                                                               当前用户系统所在分区