木马分析：伪装成右键点击无“删除”选项的IE图标

样本下载链接：http://download.csdn.net/detail/cs08211317dn/4177398

一．           大致描述：

1.      样本名称：成人情色播放器300元钱.exe

2.      家族名： Trojan.Win32.StartPage.asdy（卡巴斯基）

3.      MD5：3B1CDF2BC6576629E93DC6C5D6B12C21

4.      技术细节大致描述: 木马将系统的“搜索结果”伪装成无法删除的IE图标，指向恶意网址；并且隐藏真正的IE图标。

5.      样本运行后现象：

点击桌面IE图标，弹出以下网页：

右击桌面图标，发现此图标没有“删除”选项，仅有“打开”、“属性”和“创建快捷方式”三个选项。截图如下：

二.      技术细节

1.      进程成人情色播放器300元钱.exe创建文件C:\Program Files\Common Files\iexplore.exe。

2.      进程成人情色播放器300元钱.exe修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-  83f2-00a0c90dc849}\Shell\Open(&O)\Command的值为C:\Program Files\CommonFiles\iexplore.exe %1                      h%t%t%p:%//%w%w%w.%13%16%10%12%16%16.%c%o%m/?%10；修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell\属性(&R)\Command的值为rundll32.exeshell32.dll,Control_RunDLL inetcpl.cpl,,0，以给恶意IE图标增加鼠标右键菜单。修改后的注册表项截图如下：

3.       进程成人情色播放器300元钱.exe修改修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\DefaultIcon的值为C:\Program Files\CommonFiles\iexplore.exe，以将恶意IE图标的图标伪装成IE图标。

4.      进程成人情色播放器300元钱.exe修改修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\ShellFolder\Attributes的值为0，此时桌面上出现如下伪IE图标：

因为之前修改了图标，如果未修改图标，直接修改以上注册表项，桌面上将出现以下图标：

5.      进程成人情色播放器300元钱.exe修改注册表项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D}的值为0x00000001(1)，以达到当windows为经典主题时，隐藏桌面IE图标的目的，截图如下：

进程成人情色播放器300元钱.exe修改注册表项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel\{871C5380-42A0-1069-A2EA-08002B30309D}的值为0x00000001(1)，以达到隐藏桌面IE图标的目的。

   

三.     手杀方案

1.      删除注册表项：HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell

2.      修复注册表项：

（1）修改注册表项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D}和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel\{871C5380-42A0-1069-A2EA-08002B30309D}的值为0。

（2）修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\DefaultIcon的值为%SystemRoot%\system32\SHELL32.dll,-134。

（3）修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\ShellFolder\Attributes的值为20180000。（此值可能不唯一）

3.      删除文件成人情色播放器300元钱.exe、C:\ProgramFiles\Internet Explorer\iexplore.exe、C:\WINDOWS\RegText.reg。