20CN网络安全小组论坛 - 病毒专区 - 新型3721病毒大家注意了

论坛: 病毒专区标题: 新型3721病毒大家注意了

作者: NickJ [jiangxiao]

论坛用户

病毒发作现象：
自动将浏览器的“搜索”功能重定向到一个叫www.3721.com的网站，该站点为中文站，且无法修改；
强行在用户ie上添加“情景聊天”、“上网加速”等几个图标；
不断刷新注册表相关键值，以达到成功驻留和大量消耗用户主机资源的目的；
每次启机加载，并自带进程保护功能，在正常地windows启动下难以杀除；
5. 带自动升级功能，每次用户上网使用ie时，该病毒会后台执行升级；

病毒自身特点：
自带卸载功能；该病毒为达到隐藏自身目的，麻痹下载插件用户的目的，提供了卸载程序。但根据天缘的使用情况发现，在卸载后，该病毒程序依然驻留，启动时仍然加载，依然监视、改写注册表；
采用网络升级方式；该病毒为了防止用户以及杀毒软件的杀除，采取定期网上升级的方式，这点与近期的其他Windows主流病毒类似，但值得一提的是该病毒建有公开的病毒升级站点www.3721.com，且站点风格酷似门户、服务类站点，具有极大的欺骗性；
以驱动模式加载；该特性可说是近段时期以来病毒编写的一次技术飞跃，采用驱动模式加载配合挂接hook的方式，在windows下极难查杀（详细技术讨论见后）；
提供在浏览器地址栏中输入中文后转到其站点进行关键字查询的搜索服务。前段时间的冲击波克星病毒也曾在感染用户机器后自动连接用户的机器到update.Microsoft.com下载补丁，看来新的病毒越来越多地喜欢提供一些另类功能了；
被动方式传播：利用一些站点来进行传播，而不是主动感染其他机器，这点与当前热门的“美女图片”病毒的方式相近。从主动转向被动，可说是今年一些病毒的新特点；

病毒详细分析：
当用户访问站点的时候，弹出一个控件下载窗口提示用户下载安装，表面上称自己是提供中文实名服务，引诱用户安装；
在安装过程中多处修改用户文件及注册表；
添加文件：

在Documents and Settings\All Users\「开始」菜单\程序\网络实名\ 目录下添加
了解网络实名详细信息.url 86 字节
清理上网记录.url 100 字节
上网助手.url 99 字节
卸载网络实名.lnk 1,373 字节
修复浏览器.url 103 字节

在WINDOWS\Downloaded Program Files\ 下添加
assis.ico 5,734 字节
cns02.dat 1,652 字节
CnsHook.dll 56,320 字节
CnsMin.cab 116,520 字节
CnsMin.dll 179,712 字节
CnsMin.inf 378 字节
sms.ico" 6,526 字节
yahoomsg.ico 5,734 字节

在WINDOWS\System32\Drivers\ 目录下添加
CnsminKP.sys

添加注册表键值：

增加HKEY_LOCAL_MACHINE\SOFTWARE\3721 主键，下设多子键及属性值；
在HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID 主键下增加
{B83FC273-3522-4CC6-92EC-75CC86678DA4}
{D157330A-9EF3-49F8-9A67-4141AC41ADD4}
两个子键
3．在HKEY_LOCAL_MACHINE\SOFTWARE\Classes\主键下增加
CnsHelper.CH
CnsHelper.CH.1
CnsMinHK.CnsHook
CnsMinHK.CnsHook.1
四个子键
4. 在HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\主键下增加
{1BB0ABBE-2D95-4847-B9D8-6F90DE3714C1}子键
5. 在HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\主键下增加
{A5ADEAE7-A8B4-4F94-9128-BF8D8DB5E927}
{AAB6BCE3-1DF6-4930-9B14-9CA79DC8C267}
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\主键下增加
!CNS子键
在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\ 主键下增加
{00000000-0000-0001-0001-596BAEDD1289}
{0F7DE07D-BD74-4991-9D5F-ECBB8391875D}
{5D73EE86-05F1-49ed-B850-E423120EC338}
{ECF2E268-F28C-48d2-9AB7-8F69C11CCB71}
{FD00D911-7529-4084-9946-A29F1BDF4FE5} 五个子键
在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search\主键下增加
CustomizeSearch
OcustomizeSearch
SearchAssistant
OsearchAssistant 四个子键
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\主键下增加
{D157330A-9EF3-49F8-9A67-4141AC41ADD4}子键
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\下增加
CnsMin子键
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\下增加
EK_Entry 子键（提示，这个键将在下次启动机器的时候生效，产生最令人头疼的部分，后文会叙述）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\下增加
CnsMin 子键
HKEY_CURRENT_USER\Software\下增加
3721子键
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\下增加
CNSAutoUpdate
CNSEnable
CNSHint
CNSList
CNSMenu
CNSReset
在重新启动计算机后，上面提到的RunOnce下的EK_Entry生效，在注册表中多处生成最为邪恶的CnsMinKP键值，同时在系统盘的windows/system32/drivers目录下生成CnsMinKP.sys文件，噩梦由此开始。
由于win2k/xp在启动的时候（包括安全模式）默认会自动运行windows/system32/drivers下面的所有驱动程序，于是CnsMinKP.sys被加载，而这个驱动的作用之一，就是保证windows/ Downloaded Program Files目录下的Cnshook.dll和CnsMin.dll以及其自身不被删除；Cnshook.dll的作用则是提供中文实名功能，CnsMin.dll作用在于使其驻留在ie进程内的时候。CnsMin为了保证自己的优先级最高，用了一个定时器函数反复安装钩子，因此造成系统性能下降，在天缘测试的那台机器上，使得性能大概下降了20%左右。而且由于hook强行挂接的原因，当用户使用断点调试程序的时候将会导致频繁出错，这一点与早期版本的cih导致winzip操作和无法关机类似（关于详细的技术细节，可参看题目为《[转载]3721驻留机制简单研究》一文，地址为 http://www.nsfocus.net/index.php?act=sec_doc&do=view&doc_id=894 原作者Quaful@水木清华）
防删除特性：
该病毒虽然自带一个所谓的“卸载程序”，但事实上核心部分的程序/注册表键值依然没有删除。而且该病毒更是利用各种技术手段，具有极其强大的反删除特性。
windows系统启机（包括安全模式下）便会加载windows/system32/drivers下的CnsMinKP.sys，该驱动该驱动程序过滤了对其自身及相关重要文件和注册表的删除操作。每当试图删除3721的关键文件和注册表项时，直接返回一个TRUE，使Windows认为删除已经成功，但文件和注册表实际上还是在那里。

技术亮点：
天缘不得不承认，3721这个病毒插件可称我作为网管以来面对的最难清除的病毒。近几年来病毒有几次质的突破：cih感染可升级的bios、红色代码打开windows的共享扩大战果、meliza让我们见识了什么是看得到源程序的病毒、mssqlserver蠕虫让我们留意到计算机病毒能攻击的不光是节点还有网络设备、冲击波病毒让我们认识到大量使用同一种操作系统时在出现安全漏洞时的可怕、美女图片病毒让我们知道了将欺骗艺术与软件漏洞结合的威力、而这次3721病毒首次展现了病毒强大的反删除特性，可说是在windows环境下无法杀除的病毒。虽然这是个良性病毒，对系统并没有破坏特性，但依据病毒的发展史，可以预见，这种几近完美的反删除技术将很快被其他病毒所利用，很快将被其他病毒所利用。届时结合网络传播，局网感染带强大反删除功能的病毒或许会让目前windows平台下的杀毒软件遭遇到最大的考验。而这次经历，也让我意识到微软的windows操作系统在人性化、美观化、傻瓜化的背后的危机。作为it同行，我个人对3721病毒作者所使用的种种技术表示钦佩，但新型病毒的潘多拉魔盒，已经被他们打开：

在目前已知的病毒历史上，之前只有几种病毒利用过windows nt下的system32/drivers 下的程序会被自动加载的特性来进行传播，但那些病毒本身编写地不够完善，会导致windows nt系统频繁蓝屏死机，象3721插件病毒这样完美地加载、驻留其他进程，只消耗主机资源，监测注册表及关键文件不导致系统出错的病毒，国内外尚属首次，在技术上比以前那些病毒更为成熟；

如同天缘和大家曾经探讨过的没打sp2以上patch的win2k如何上网下载sp4再安装补丁这样的连环套问题一样。由于drivers目录下的CnsMinKP.sys启机必定加载，而欲不加载它，只有在windows启动后，进注册表改写相应的CnsMinKP键值或者删除该文件，但由于CnsMinKP.sys过滤了对其自身及相关重要文件和注册表的删除操作。每当试图删除3721的关键文件和注册表项时，直接返回一个TRUE，使Windows认为删除已经成功，但文件和注册表实际上还是在那里。使得注册表无法修改/文件无法被删除，让我们传统的杀除病毒和木马的对策无法进行。
驻留ie进程，并自动升级，保证了该病毒有极强大的生命力，想来新的杀除方法一出现，该病毒就会立即升级。Windows上虽然还有mozilla等其他浏览器，但由于微软的捆绑策略和兼容性上的考虑，绝大多数用户一般只安装有ie。上网查资料用ie，寻找杀除3721资料的时候也用ie，如此一来，3721抢在用户前面将自身升级到最新版本以防止被杀除的可能性大大增加，更加增添了杀除该病毒的难度。或许在本文发出后，病毒将会在最短时间内进行一次升级。
附带其他“实用”功能。天缘记得早年在dos下的时候曾遇到一些病毒，在发作的时候会自动运行一个可爱的屏幕保护，或者是自动替用户清理临时文件夹等有趣的功能；后来在windows平台上也曾见过在病毒发作时自动提醒“今天是xx节，xx年前的今天发生了xx历史典故”这样的带知识教育意义的病毒；而3721病毒则是提供了一个所谓的中文域名与英文域名的翻译功能。随着病毒的发展，这样带隐蔽性、趣味性和欺骗性的病毒将越来越多。例如最近的邮件病毒以微软的名义发信，或以re开始的回信格式发信，病毒编写的发展从原来的感染传播、漏洞传播、后门传播逐步向欺骗传播过渡，越来越多的病毒编写者意识到社会工程学的重要性。或许在不久的将来，就会出现以简单的网络游戏/p2p软件为掩饰的病毒/木马。
极具欺骗性：该插件在win98下也能使用，但使用其自带的卸载程序则可比较完美地卸载，而在win2k/xp平台下卸载程序则几乎没用。由此可以看出病毒编写者对社会工程学极其精通：当一个人有一只表时他知道时间；而当他有两只表时则无从判断时间。当在论坛/bbs上win2k/xp的用户提到此病毒无法删除的时候，其他win2k/xp用户会表示赞同，而win98用户则会表示其不存在任何问题属于正常程序的反对意见。两方意见的对立，影响了旁观者的判断。

商业行为的参与。据传该病毒是由某公司编写的，为的是进一步推销其产品，增加其访问量和申请用户。这点上与某些色情站点要求用户下载xx插件，之后不断利用该插件弹出窗口进行宣传的方式很象。天缘不由得想起一个典故。话说当年某公司公司工作人员（当然也有可能是不法者冒充该公司的工作人员）经常打电话恐吓大型的企业单位，无外乎说其中文域名已被xx公司抢注，如不交钱将会导致xx后果云云。兄弟学校中似乎也有受到此公司骚扰的经历：该公司员工打电话到某高校网络中心，起初是建议其申请中文域名，其主任很感兴趣但因价格原因未果。第二次打来的时候，就由劝说变成了恐吓，说该校中文名字已经被xx私人学校注册，如果该校不交钱申请就会有种种可怕后果云云。谁想该校网络中心主任吃软不吃硬，回话：“你既然打电话到此，想来你也知道在中国，xx大学就我们一所是国家承认的，而你们公司在没有任何官方证明的情况下就替申请我校中文域名的私人学校开通，就这点上就可见你们的不规范性，那么如果我私人交钱申请xxx国家领导的名字做个人站点是不是贵公司也受理？遇到类似冒用我校名义行骗及协助其行骗的公司，我们一贯的做法是寻找法律途径解决！”回答甚妙，当然此事后果是不了了之。从相关报道中不难看到，计算机犯罪逐步开始面向经济领域。侵犯私人隐私，破坏私人电脑的病毒与商业结合，是病毒编写由个人行为到商业行为的一次转变，病毒发展的历史由此翻开了新的一章。

地主发表时间: 04-08-14 18:06

回复: NickJ [jiangxiao]

论坛用户

解决方案:

我先把windows\system32\drivers目录复制一份，取名为drivers1,并将其中的CnsMinKP.sys删除（注意，因为是drivers1中的，所以可以被成功地真正删除掉）；
重新启动机器，到安全模式下；
用drivers1目录替代原来的drviers目录
cd windows\system
ren drivers drivers2
ren drivers1 drivers
之后重新启动机器，然后进到windows后先把drivers2目录删除了，然后慢慢收拾残余文件和清理注册表吧。在这里天缘提供一个reg文件，方便各位删除注册表：
Windows Registry Editor Version 5.00（用98的把这行改成regeidt4）

[-HKEY_LOCAL_MACHINE\SOFTWARE\3721]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B83FC273-3522-4CC6-92EC-75CC86678DA4}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D157330A-9EF3-49F8-9A67-4141AC41ADD4}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CnsHelper.CH]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CnsHelper.CH.1]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CnsMinHK.CnsHook]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CnsMinHK.CnsHook.1]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1BB0ABBE-2D95-4847-B9D8-6F90DE3714C1}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A5ADEAE7-A8B4-4F94-9128-BF8D8DB5E927}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{AAB6BCE3-1DF6-4930-9B14-9CA79DC8C267}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\!CNS]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{00000000-0000-0001-0001-596BAEDD1289}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CnsMin]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{00000000-0000-0001-0001-596BAEDD1289}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{0F7DE07D-BD74-4991-9D5F-ECBB8391875D}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{5D73EE86-05F1-49ed-B850-E423120EC338}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{ECF2E268-F28C-48d2-9AB7-8F69C11CCB71}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FD00D911-7529-4084-9946-A29F1BDF4FE5}]

[-HKEY_CURRENT_USER\Software\3721]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search\OCustomizeSearch]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search\OSearchAssistant]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search\CustomizeSearch]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search\SearchAssistant]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{D157330A-9EF3-49F8-9A67-4141AC41ADD4}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\CnsMin]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\EK_Entry]
[-HKEY_USERS\S-1-5-21-789336058-764733703-1343024091-1003\Software\Microsoft\Internet Explorer\Main\CNSAutoUpdate]
[-HKEY_USERS\S-1-5-21-789336058-764733703-1343024091-1003\Software\Microsoft\Internet Explorer\Main\CNSEnable]
[-HKEY_USERS\S-1-5-21-789336058-764733703-1343024091-1003\Software\Microsoft\Internet Explorer\Main\CNSHint]
[-HKEY_USERS\S-1-5-21-789336058-764733703-1343024091-1003\Software\Microsoft\Internet Explorer\Main\CNSList]
[-HKEY_USERS\S-1-5-21-789336058-764733703-1343024091-1003\Software\Microsoft\Internet Explorer\Main\CNSMenu]
[-HKEY_USERS\S-1-5-21-789336058-764733703-1343024091-1003\Software\Microsoft\Internet Explorer\Main\CNSReset]

B1层发表时间: 04-08-14 18:08

回复: NickJ [jiangxiao]

论坛用户

我想现在很多人都在使用3721吧呵呵不知不觉就中毒了~~

如果有兄弟看不懂可以与我联系
QQ:156248266

[此贴被 NickJ(jiangxiao) 在 08月14日18时10分编辑过]

B2层发表时间: 04-08-14 18:09

回复: lqfrla [lqfrla]

论坛用户

什么时候的啊

B3层发表时间: 04-08-14 18:19

回复: NickJ [jiangxiao]

论坛用户

现在的撒

B4层发表时间: 04-08-14 21:10

回复: gwrmenu [gwrmenu]

论坛用户

那破东西的确是很可恶，但也让人很无奈。

B5层发表时间: 04-08-15 17:01

回复: wwkkss [wwkkss]

论坛用户

兄弟说的是。。但是。。没有楼主说得那么的厉害。
也不是什么病毒，但是，它程序驻留内存，对它注册表项值的修改，都是无效的。
这但是让人蛮烦的。。用它自带的删除程序进行删掉
重起后再用删掉那个CnsMinKP.sys 。再到注册表中查找3721这个项。。找到后再删了它。
到run中删掉那个help来的就行了。
1. CnsMin.dll的驻留方式

3721的核心文件：CnsMin.dll
通常存在于<Windows Directory>\Downloaded Program Files下。

通过注册表Run键值加载：Rundll32 <dir>\CnsMin.dll, Rundll32

CnsMin.dll提供了一个函数Rundll32供Rundll32.exe调用
但这个函数只是调用一个真正的驻留函数Rundll32Main()。

Rundll32Main()伪代码：

void Rundll32Main()
{
hMutex = CreateMutex("CNSMINMUTEX");
if(ERROR_ALREADY_EXISTS)
{
CloseHandle(hMutex);
exit;
}
if(IsWindowsNT()) {
SetProcessSecurityInfo();
}
else {
RegisterProcessAsService();
}
CheckVersion();

// CnsMinKP.sys/vxd 内核驱动程序，保护3721关键文件和注册表项不被删除
ContactWithCnsMinKPDriver();

// 关键的hook，负责将CnsMin.dll注入其他进程空间
InstallCBTHook();

// 关键的hook，负责将CnsMin.dll注入其他进程空间
InstallCallWndProcHook();

// CnsMinIO.dll 负责IE地址栏下方的提示
InitCnsMinIO();

// 一些注册表信息
InitRegistry();

// 保护CnsMin.dll的钩子不被卸载或抢先
InstallGuardTimer();

CreateMsgWindow();

// Message loop
while (true)
{
GetMessage(&msg);
TranslateMessage(&msg);
DispatchMessage(&msg);
}
}

这个不全。。还差东西

B6层发表时间: 04-08-16 04:16

回复: NickJ [jiangxiao]

论坛用户

恩楼上的兄弟看来对这方面很有研究嘛