超级巡警团队监测到恶意程序Trojan.Win32.Runner.bh，该病毒为木马程序，运行后释放并下载大量盗号木马，关闭360保险箱的监控，使360保险箱失效，盗号木马盗取用户游戏账号，给用户的财产带来损失，超级巡警建议用户使用超级巡警保险箱来保证游戏账号的安全。同时提醒广大用户及时更新病毒库，对该程序进行有效查杀。

 

一、病毒相关分析：
       病毒标签：
          病毒名称：Trojan.Win32.Runner.bu
          病毒类型：木马
          危害级别：3
          感染平台：Windows
          病毒大小：35,328 字节
          SHA1　：  2D11BC6A0EA27FF88EC09658605E659D2DA11D5C
          加壳类型：UPX
          开发工具：Microsoft Visual C++

 

       病毒行为：
          1、病毒运行以后释放其他病毒文件。
               %system%\drivers\winsawids.sys
               %Temp%\394547(随即名)
               %Temp%\477595(随即名)
               %Temp%\666143(随即名)
               %Temp%\732660(随即名)
               %Temp%\773708(随即名)
               %Temp%\827974(随即名)
               %Temp%\1035428(随即名)
               %Temp%\1148086(随即名)
               %Temp%\1322321(随即名)
               %system%\System.exe

 

          2、遍历进程，如果存在kavstart.exe、safeboxtray、360Tray进程，就将其结束。

 

          3、添加注册表服务相关键值，使病毒随windows启动时加载。
               HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

               值："System.exe"

 

               HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
               注册表项：AppInit_DLLs
               值：  HBmhly.dll、HBWOW.dll、HBJTLQ.dll、HBTL.dll、HBDNF.dll、HBQQXX.dll

 

          4、添加注册表服务相关键值，加载驱动，并创建一个名为"\.Delkil"的设备与驱动文件交互
               HKLM\SYSTEM\CurrentControlSet\Services\Kisstusb 
               路径："%system%\drivers\winsawids.sys" 

 

               HKLM\SYSTEM\CurrentControlSet\Services\HBKernel32
               路径："%system%\drivers\HBKernel32.sys"

 

               HKLM\SYSTEM\CurrentControlSet\Services\c39e8db
               路径：%system32%\c39e8db.sys

 

               5、将DLL文件(盗号木马)注入explorer.exe、system.exe等进程
               HBmhly.dll、HBJTLQ.dll、HBWOW.dll、HBTL.dll、HBDNF.dll、HBQQXX.dll、HBQQSG.dll、C8FFD223.dll、43ACDCC5.dll、D7C79813.dll、DFEC5CB7.dll、43ACDCC5.dll、D7C79813.dll、DFEC5CB7.dll、BA7EDF54.dll、E4814792.dll、01AFE3DC.dll、122B901E.dll、9F684DE8.dll、F2CBFAC4.dll、F2CBFAC4.dll、3F21AA0C.dll、DA63E650.dll、B3721C07.dll、58FF3024.dll、8566F82E.dll、66AFCB56.dll、08223B03.dll、9CA963CA.dll、E0D39066.dll、53u1ttMe.2ys

 

               6、下载文件：hxxp://www.oiu**.net/ko.txt
                    根据该文件下载并运行以下文件
                          hxxp://61.164.118.***/new/new1.exe
                          hxxp://61.164.118.***/new/new2.exe
                          hxxp://61.164.118.***/new/new3.exe
                          hxxp://61.164.118.***/new/new4.exe
                          hxxp://61.164.118.***/new/new5.exe
                          hxxp://61.164.118.***/new/new6.exe
                          hxxp://61.164.118.***/new/new7.exe
                          hxxp://61.164.118.***/new/new8.exe
                          hxxp://61.164.118.***/new/new9.exe
                          hxxp://61.164.118.***/new/new10.exe
                          hxxp://61.160.210.**/new/new11.exe
                          hxxp://61.160.210.**/new/new12.exe
                          hxxp://61.160.210.**/new/new13.exe
                          hxxp://61.160.210.**/new/new14.exe
                          hxxp://61.160.210.**/new/new15.exe
                          hxxp://61.160.210.**/new/new16.exe
                          hxxp://61.160.210.**/new/new17.exe
                          hxxp://61.160.210.**/new/new18.exe
                          hxxp://61.160.210.**/new/new19.exe
                          hxxp://61.160.210.**/new/new20.exe
                          hxxp://61.160.210.**/new/new21.exe
                          hxxp://61.160.210.**/new/new22.exe
                          hxxp://61.160.210.**/new/new23.exe
                          hxxp://61.160.210.**/new/new24.exe
                          hxxp://61.160.210.**/new/new25.exe
                          hxxp://61.160.210.**/new/new26.exe
                          hxxp://61.160.210.**/new/new27.exe
                          hxxp://61.160.210.**/new/new28.exe
                          hxxp://61.160.210.**/new/new29.exe
                          hxxp://61.160.210.**/new/new30.exe
                          hxxp://61.160.210.**/new/new31.exe
                          hxxp://61.160.210.**/new/new32.exe
                          hxxp://61.160.210.**/new/new33.exe
                          hxxp://61.160.210.**/new/new34.exe
                          hxxp://61.160.210.**/new/new35.exe
                          hxxp://61.160.210.**/new/new36.exe

 

 

 

       推荐方案：安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
                        超级巡警下载地址：http://www.sucop.com/download/16.html

 

       手工清除方法：
              1、删除病毒生成的文件。
                   %system%\System.exe
                   %Temp%\309657(随即名)
                   %system%\System.exe

 

              2、删除病毒添加的注册表项。
                   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
                   值："System.exe"

                   HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows AppInit_DLLs
                   值：HBmhly.dll、HBWOW.dll、HBJTLQ.dll、HBTL.dll、HBDNF.dll、HBQQXX.dll

 

 

       1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
       2、禁用不必要的服务。
       3、不要随便打开不明来历的电子邮件，尤其是邮件附件。
       4、不要随意下载不安全网站的文件并运行。
       5、下载和新拷贝的文件要首先进行查毒。
       6、不要轻易打开即时通讯工具中发来的链接或可执行文件。
       7、使用移动存储介质进行数据访问时，先对其进行病毒检查，建议使用超级巡警U盘免疫器进行免疫。