一款魔兽盗号木马分析
这款魔兽盗号木马是模仿“多玩魔兽盒子”欺骗用户从而进行盗号的，请看“多玩魔兽盒子”官方网站：http://wow.duowan.com/wowbox1/，
木马模仿的钓鱼网站：http://www.tudouw.com/ 。可以看出做得很相似，稍不留意的话就会被钓鱼。大家该问了，这样的网站怎么会访问到的啊，
如果魔兽玩家通过百度搜索“多玩魔兽盒子”，第一页便会有这个钓鱼网站。可以看出万恶的百度给它做了竞价排名，这就叫做为虎作伥、周助为虐，
这个百度得记一大过，它只会圈钱了。网络太可怕了，什么都不敢相信了……
再说这个木马，除了网页上做得很相似外。它的下载文件也和真正的“多玩魔兽盒子”差不多，只是稍微大了一些，因为捆绑了一个木马。
下载后运行，它会先释放出真正的“多玩魔兽盒子”并运行，此时木马也被释放并运行，但是用户不会察觉有什么一样。
木马释放出一个m9.exe，通过调用命令行：
net stop cryptsvc
sc config cryptsvc start = disabled
sc delete cryptsvc
关闭文件保护系统，并将原始系统dll文件:ksuer.dll，midimap.dll，msimg32.dll分别改名为：yuksuer.dll，yumidimap.dll，yumsimg32.dll。
并将木马dll：system.dll替换掉原始系统dll文件:ksuer.dll，midimap.dll，msimg32.dll。另外还备份一份sysapp10.dll文件在系统目录下。
dllcache中的上述三个系统dll文件也被替换位木马dll，魔兽安装目录下也会多了ksuer.dll，midimap.dll，msimg32.dll几个文件，也是木马dll。
通过查看木马dll可以看出，里面的导出函数有一部分做了重定向，实际上是劫持了上述的几个dll文件。
m9.exe最后通过rundll32.exe调用木马dll的导出函数ServerMain传递m9的文件路径进去，目的是让木马dll的这个函数帮助删除m9文件。
木马dll：
如果当前注入的进程是wow.exe，删除其目录下的scan.dll，scan.dll.new，据说这两个文件是魔兽的木马/外挂扫描模块。
修改send，recv，sendto函数开头的代码，应该是做了hook。
会有枚举魔兽窗口，以及截图相关的操作，具体意义不详。
通过RegisterShellHookWindow和SetWindowLong(GWL_WNDPROC)拦截窗口创建，这个可以确定运行的是不是魔兽世界进程，其他进程可以直接忽略。
这个RegisterShellHookWindow和WH_CBT钩子一样强劲，大家可以学习下。
下面讲解主要盗号技术：特征码定位拦截。
我截取了木马中的一些特征并稍作整理如下：
10001D47 |. C645 F4 8B mov byte ptr [ebp-C], 8B
10001D4B |. C645 F5 33 mov byte ptr [ebp-B], 33
10001D4F |. C645 F6 03 mov byte ptr [ebp-A], 3
10001D53 |. C645 F7 F0 mov byte ptr [ebp-9], 0F0
10001D57 |. C645 F8 B9 mov byte ptr [ebp-8], 0B9
10001D5B |. C645 F9 55 mov byte ptr [ebp-7], 55
??
??
??
ff
ff
8B3303F0B955??????FFFF
--------------------
528D85??FB50
---------------
10001F66 |. C645 F8 8B mov byte ptr [ebp-8], 8B
10001F6A |. C645 F9 55 mov byte ptr [ebp-7], 55
10001F6E |. C645 FA 10 mov byte ptr [ebp-6], 10
10001F72 |. C645 FB 89 mov byte ptr [ebp-5], 89
10001F76 |. C645 FC 4B mov byte ptr [ebp-4], 4B
10001F7A |. C645 FD 10 mov byte ptr [ebp-3], 10
8B5510894B10
169FA36
0169FA30 |> \8B45 08 mov eax, dword ptr [ebp+8]
0169FA33 |. 8B4D 0C mov ecx, dword ptr [ebp+C]
0169FA36 |. 8B55 10 mov edx, dword ptr [ebp+10]
D9E0DEC1DD1C2450
894DF88BC8
0FB6888501????51
83C004508B4DE883C104
------------------------------
8B3303F0B955??????FFFF 123F005
528D85??FB????50 10ba4f0
8B5510894B10 169FA36
D9E0DEC1DD1C2450 11C3570 16C831E
56508B425CFFD05F5E8BE55D 123eeea
894DF88BC8 11C3547 135E269 14C19D0 161EF74 16BFFBE
0FB6888501????51 155C346 进入魔兽世界的时候会断下
83C004508B4DE883C104 10b362a
67452301
016E8318 |. DF6D F8 fild qword ptr [ebp-8]
016E831B |. 83EC 08 sub esp, 8
016E831E |. D9E0 fchs
016E8320 |. DEC1 faddp st(1), st
016E8322 |. DD1C24 fstp qword ptr [esp]
016E8325 |. 50 push eax
016E8326 |. E8 552DADFF call 011BB080
上面的特征都有一定的意义，我这里取一个典型的例子来说明。
56508B425CFFD05F5E8BE55D
这段特征在魔兽世界进程里搜索到后，是一段代码：
001AEEEA 56 push esi
001AEEEB 50 push eax
001AEEEC 8B42 5C mov eax,dword ptr ds:[edx+5C]
001AEEEF FFD0 call eax
找到后就对上面的地址处下断点，并在魔兽世界的账号密码登录框中输入后点击登录，便中段下来，通过观察寄存器或者堆栈信息就能看到明文的账号和密码。
用回溯法找到几个关键的调用代码：
0155A070 /$ 55 push ebp
0155A071 |. 8BEC mov ebp, esp
0155A073 |. 803D 04DDBE01>cmp byte ptr [1BEDD04], 0
0155A07A |. 0F84 16010000 je 0155A196
0155A080 |. 833D ACD7BE01>cmp dword ptr [1BED7AC], 0
0155A087 |. 0F84 09010000 je 0155A196
0155A08D |. 833D B4D7BE01>cmp dword ptr [1BED7B4], 0
0155A094 |. 0F84 FC000000 je 0155A196
0155A09A |. 833D 90D2BE01>cmp dword ptr [1BED290], 0
0155A0A1 |. 0F85 EF000000 jnz 0155A196
0155A0A7 |. 8B45 08 mov eax, dword ptr [ebp+8]
0155A0AA |. 85C0 test eax, eax
0155A0AC |. 0F84 0C010000 je 0155A1BE
0155A0B2 |. 8038 00 cmp byte ptr [eax], 0
0155A0B5 |. 0F84 03010000 je 0155A1BE
0155A0BB |. 56 push esi
0155A0BC |. 8B75 0C mov esi, dword ptr [ebp+C]
0155A0BF |. 85F6 test esi, esi
0155A0C1 |. 0F84 D1000000 je 0155A198
0155A0C7 |. 803E 00 cmp byte ptr [esi], 0
0155A0CA |. 0F84 C8000000 je 0155A198
0155A0D0 |. 83C9 FF or ecx, FFFFFFFF
0155A0D3 |. 890D 34E5A301 mov dword ptr [1A3E534], ecx
0155A0D9 |. 890D 38E5A301 mov dword ptr [1A3E538], ecx
0155A0DF |. 890D 3CE5A301 mov dword ptr [1A3E53C], ecx
0155A0E5 |. 890D 40E5A301 mov dword ptr [1A3E540], ecx
0155A0EB |. C605 D0D7BE01>mov byte ptr [1BED7D0], 0
0155A0F2 |. C705 98D7BE01>mov dword ptr [1BED798], 0
0155A0FC |. C705 90D2BE01>mov dword ptr [1BED290], 1
0155A106 |. C705 F8D7BE01>mov dword ptr [1BED7F8], 0
0155A110 |. 8A08 mov cl, byte ptr [eax]
0155A112 |. BA 98D2BE01 mov edx, 01BED298 ; ASCII "WANG1111"
0155A117 |. 84C9 test cl, cl
0155A119 |. 74 25 je short 0155A140
0155A11B |. EB 03 jmp short 0155A120
0155A11D | 8D49 00 lea ecx, dword ptr [ecx]
0155A120 |> 81FA 97D7BE01 /cmp edx, 01BED797
0155A126 |. 73 18 |jnb short 0155A140
0155A128 |. 80F9 7C |cmp cl, 7C
0155A12B |. 75 06 |jnz short 0155A133
0155A12D |. 3848 01 |cmp byte ptr [eax+1], cl
0155A130 |. 75 01 |jnz short 0155A133
0155A132 |. 40 |inc eax
0155A133 |> 0FB608 |movzx ecx, byte ptr [eax]
0155A136 |. 40 |inc eax
0155A137 |. 880A |mov byte ptr [edx], cl
0155A139 |. 8A08 |mov cl, byte ptr [eax]
0155A13B |. 42 |inc edx
0155A13C |. 84C9 |test cl, cl
0155A13E |.^ 75 E0 \jnz short 0155A120
0155A140 |> 68 98D2BE01 push 01BED298 ; ASCII "WANG1111"
0155A145 |. C602 00 mov byte ptr [edx], 0
0155A148 |. E8 EE352000 call 0175D73B
0155A14D |. 68 B8838F01 push 018F83B8 ; ASCII "CANCEL"
0155A152 |. 68 60848C01 push 018C8460 ; ASCII "%s"
0155A157 |. 6A 03 push 3
0155A159 |. E8 D2F70300 call 01599930
0155A15E |. 0FB615 D1D7BE>movzx edx, byte ptr [1BED7D1]
0155A165 |. 52 push edx
0155A166 |. 56 push esi
0155A167 |. 68 98D2BE01 push 01BED298 ; ASCII "WANG1111"
0155A16C |. E8 3F4BCEFF call 0123ECB0
0155A171 |. 8BC6 mov eax, esi
0155A173 |. 83C4 1C add esp, 1C
0155A176 |. 8D50 01 lea edx, dword ptr [eax+1]
0155A179 |. 8DA424 000000>lea esp, dword ptr [esp]
0155A180 |> 8A08 /mov cl, byte ptr [eax]
0155A182 |. 40 |inc eax
0155A183 |. 84C9 |test cl, cl
0155A185 |.^ 75 F9 \jnz short 0155A180
0155A187 |. 2BC2 sub eax, edx
0155A189 |. 50 push eax
0155A18A |. 6A 00 push 0
0155A18C |. 56 push esi
0155A18D |. E8 7E3FC2FF call 0117E110
0155A192 |. 83C4 0C add esp, 0C
0155A195 |. 5E pop esi
0155A196 |> 5D pop ebp
0155A197 |. C3 retn
0155A198 |> 6A 00 push 0
0155A19A |. 6A FF push -1
0155A19C |. 68 9CE09001 push 0190E09C ; ASCII "LOGIN_ENTER_PASSWORD"
0155A1A1 |. E8 4AD70300 call 015978F0
0155A1A6 |. 50 push eax
0155A1A7 |. 68 90DF9001 push 0190DF90 ; ASCII "OKAY"
0155A1AC |. 68 CC4F8D01 push 018D4FCC ; ASCII "%s%s"
0155A1B1 |. 6A 03 push 3
0155A1B3 |. E8 78F70300 call 01599930
0155A1B8 |. 83C4 1C add esp, 1C
0155A1BB |. 5E pop esi
0155A1BC |. 5D pop ebp
0155A1BD |. C3 retn
0155A1BE |> 6A 00 push 0
0155A1C0 |. 6A FF push -1
0155A1C2 |. 68 88E09001 push 0190E088 ; ASCII "LOGIN_ENTER_NAME"
0155A1C7 |. E8 24D70300 call 015978F0
0155A1CC |. 50 push eax
0155A1CD |. 68 90DF9001 push 0190DF90 ; ASCII "OKAY"
0155A1D2 |. 68 CC4F8D01 push 018D4FCC ; ASCII "%s%s"
0155A1D7 |. 6A 03 push 3
0155A1D9 |. E8 52F70300 call 01599930
0155A1DE |. 83C4 1C add esp, 1C
0155A1E1 |. 5D pop ebp
0155A1E2 \. C3 retn
0123ECB0 /$ 55 push ebp
0123ECB1 |. 8BEC mov ebp, esp
0123ECB3 |. 81EC 00050000 sub esp, 500
0123ECB9 |. 803D 6005AF01>cmp byte ptr [1AF0560], 0
0123ECC0 |. 74 27 je short 0123ECE9
0123ECC2 |. 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123ECC8 |. 85C9 test ecx, ecx
0123ECCA |. 74 16 je short 0123ECE2
0123ECCC |. 8B01 mov eax, dword ptr [ecx]
0123ECCE |. 8B90 D0000000 mov edx, dword ptr [eax+D0]
0123ECD4 |. 6A 01 push 1
0123ECD6 |. FFD2 call edx
0123ECD8 |. C705 6405AF01>mov dword ptr [1AF0564], 0
0123ECE2 |> C605 6005AF01>mov byte ptr [1AF0560], 0
0123ECE9 |> 56 push esi
0123ECEA |. 57 push edi
0123ECEB |. 8B7D 08 mov edi, dword ptr [ebp+8]
0123ECEE |. 6A 40 push 40
0123ECF0 |. 57 push edi
0123ECF1 |. 33F6 xor esi, esi
0123ECF3 |. E8 B801F4FF call 0117EEB0
0123ECF8 |. 83C4 08 add esp, 8
0123ECFB |. 85C0 test eax, eax
0123ECFD |. 74 05 je short 0123ED04
0123ECFF |. BE 01000000 mov esi, 1
0123ED04 |> 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123ED0A |. 85C9 test ecx, ecx
0123ED0C |. 74 56 je short 0123ED64
0123ED0E |. 8B01 mov eax, dword ptr [ecx]
0123ED10 |. 8B90 D8000000 mov edx, dword ptr [eax+D8]
0123ED16 |. FFD2 call edx
0123ED18 |. 83F8 01 cmp eax, 1
0123ED1B |. 75 04 jnz short 0123ED21
0123ED1D |. 85F6 test esi, esi
0123ED1F |. 74 18 je short 0123ED39
0123ED21 |> 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123ED27 |. 8B01 mov eax, dword ptr [ecx]
0123ED29 |. 8B90 D8000000 mov edx, dword ptr [eax+D8]
0123ED2F |. FFD2 call edx
0123ED31 |. 85C0 test eax, eax
0123ED33 |. 75 26 jnz short 0123ED5B
0123ED35 |. 85F6 test esi, esi
0123ED37 |. 74 22 je short 0123ED5B
0123ED39 |> 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123ED3F |. 85C9 test ecx, ecx
0123ED41 |. 74 0C je short 0123ED4F
0123ED43 |. 8B01 mov eax, dword ptr [ecx]
0123ED45 |. 8B90 D0000000 mov edx, dword ptr [eax+D0]
0123ED4B |. 6A 01 push 1
0123ED4D |. FFD2 call edx
0123ED4F |> C705 6405AF01>mov dword ptr [1AF0564], 0
0123ED59 |. EB 09 jmp short 0123ED64
0123ED5B |> 833D 6405AF01>cmp dword ptr [1AF0564], 0
0123ED62 |. 75 65 jnz short 0123EDC9
0123ED64 |> 6A 00 push 0
0123ED66 |. 85F6 test esi, esi
0123ED68 |. 74 21 je short 0123ED8B
0123ED6A |. 68 7C030000 push 37C
0123ED6F |. 68 D83A8E01 push 018E3AD8 ; ASCII ".\ClientServices.cpp"
0123ED74 |. 68 28120000 push 1228
0123ED79 |. E8 621CFEFF call 012209E0
0123ED7E |. 85C0 test eax, eax
0123ED80 |. 74 2A je short 0123EDAC
0123ED82 |. 8BC8 mov ecx, eax
0123ED84 |. E8 17051500 call 0138F2A0
0123ED89 |. EB 23 jmp short 0123EDAE
0123ED8B |> 68 7E030000 push 37E
0123ED90 |. 68 D83A8E01 push 018E3AD8 ; ASCII ".\ClientServices.cpp"
0123ED95 |. 68 90110000 push 1190
0123ED9A |. E8 411CFEFF call 012209E0
0123ED9F |. 85C0 test eax, eax
0123EDA1 |. 74 09 je short 0123EDAC
0123EDA3 |. 8BC8 mov ecx, eax
0123EDA5 |. E8 66C01400 call 0138AE10
0123EDAA |. EB 02 jmp short 0123EDAE
0123EDAC |> 33C0 xor eax, eax
0123EDAE |> A3 6405AF01 mov dword ptr [1AF0564], eax
0123EDB3 |. 8B30 mov esi, dword ptr [eax]
0123EDB5 |. E8 A6FEFFFF call 0123EC60
0123EDBA |. 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EDC0 |. 50 push eax
0123EDC1 |. 8B86 CC000000 mov eax, dword ptr [esi+CC]
0123EDC7 |. FFD0 call eax
0123EDC9 |> 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EDCF |. 57 push edi
0123EDD0 |. E8 2B3AFFFF call 01232800
0123EDD5 |. 8B0D 8405AF01 mov ecx, dword ptr [1AF0584]
0123EDDB |. 8379 30 00 cmp dword ptr [ecx+30], 0
0123EDDF |. 74 75 je short 0123EE56
0123EDE1 |. A1 8897AA01 mov eax, dword ptr [1AA9788]
0123EDE6 |. 83F8 08 cmp eax, 8 ; Switch (cases 0..8)
0123EDE9 |. 0F87 81000000 ja 0123EE70
0123EDEF |. FF2485 F8EE23>jmp dword ptr [eax*4+123EEF8]
0123EDF6 |> 833D A0CDA601>cmp dword ptr [1A6CDA0], 3 ; Cases 0,7 of switch 0123EDE6
0123EDFD |. 57 push edi
0123EDFE |. 75 13 jnz short 0123EE13
0123EE00 |. 68 283D8E01 push 018E3D28 ; ASCII "%s#EU"
0123EE05 |. 68 00050000 push 500
0123EE0A |. 8D95 00FBFFFF lea edx, dword ptr [ebp-500]
0123EE10 |. 52 push edx
0123EE11 |. EB 55 jmp short 0123EE68
0123EE13 |> 68 203D8E01 push 018E3D20 ; ASCII "%s#US"
0123EE18 |. 68 00050000 push 500
0123EE1D |. 8D85 00FBFFFF lea eax, dword ptr [ebp-500]
0123EE23 |. 50 push eax
0123EE24 |. EB 42 jmp short 0123EE68
0123EE26 |> 57 push edi ; Cases 2,3,6,8 of switch 0123EDE6
0123EE27 |. 68 283D8E01 push 018E3D28 ; ASCII "%s#EU"
0123EE2C |. EB 2E jmp short 0123EE5C
0123EE2E |> 57 push edi ; Case 1 of switch 0123EDE6
0123EE2F |. 68 183D8E01 push 018E3D18 ; ASCII "%s#KR"
0123EE34 |. 68 00050000 push 500
0123EE39 |. 8D95 00FBFFFF lea edx, dword ptr [ebp-500]
0123EE3F |. 52 push edx
0123EE40 |. EB 26 jmp short 0123EE68
0123EE42 |> 57 push edi ; Cases 4,5 of switch 0123EDE6
0123EE43 |. 68 103D8E01 push 018E3D10 ; ASCII "%s#CN"
0123EE48 |. 68 00050000 push 500
0123EE4D |. 8D85 00FBFFFF lea eax, dword ptr [ebp-500]
0123EE53 |. 50 push eax
0123EE54 |. EB 12 jmp short 0123EE68
0123EE56 |> 57 push edi
0123EE57 |. 68 60848C01 push 018C8460 ; ASCII "%s"
0123EE5C |> 68 00050000 push 500
0123EE61 |. 8D8D 00FBFFFF lea ecx, dword ptr [ebp-500]
0123EE67 |. 51 push ecx
0123EE68 |> E8 8324FEFF call 012212F0
0123EE6D |. 83C4 10 add esp, 10
0123EE70 |> 8B55 0C mov edx, dword ptr [ebp+C] ; Default case of switch 0123EDE6
0123EE73 |. 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EE79 |. 52 push edx
0123EE7A |. 8D85 00FBFFFF lea eax, dword ptr [ebp-500]
0123EE80 |. 50 push eax
0123EE81 |. E8 EA38FFFF call 01232770
0123EE86 |. 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EE8C |. 8A55 10 mov dl, byte ptr [ebp+10]
0123EE8F |. 8891 E7100000 mov byte ptr [ecx+10E7], dl
0123EE95 |. 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EE9B |. 8B01 mov eax, dword ptr [ecx]
0123EE9D |. 8B90 D8000000 mov edx, dword ptr [eax+D8]
0123EEA3 |. FFD2 call edx
0123EEA5 |. 83F8 01 cmp eax, 1
0123EEA8 |. 75 0A jnz short 0123EEB4
0123EEAA |. A1 7405AF01 mov eax, dword ptr [1AF0574]
0123EEAF |. 8B70 28 mov esi, dword ptr [eax+28]
0123EEB2 |. EB 05 jmp short 0123EEB9
0123EEB4 |> BE 5F9E8C01 mov esi, 018C9E5F
0123EEB9 |> 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EEBF |. 8B11 mov edx, dword ptr [ecx]
0123EEC1 |. 8B82 D8000000 mov eax, dword ptr [edx+D8]
0123EEC7 |. FFD0 call eax
0123EEC9 |. 83F8 01 cmp eax, 1
0123EECC |. 75 0B jnz short 0123EED9
0123EECE |. 8B0D 7005AF01 mov ecx, dword ptr [1AF0570]
0123EED4 |. 8B41 28 mov eax, dword ptr [ecx+28]
0123EED7 |. EB 09 jmp short 0123EEE2
0123EED9 |> 8B15 7805AF01 mov edx, dword ptr [1AF0578]
0123EEDF |. 8B42 28 mov eax, dword ptr [edx+28]
0123EEE2 |> 8B0D 6405AF01 mov ecx, dword ptr [1AF0564]
0123EEE8 |. 8B11 mov edx, dword ptr [ecx]
0123EEEA |. 56 push esi
0123EEEB |. 50 push eax
0123EEEC |. 8B42 5C mov eax, dword ptr [edx+5C]
0123EEEF |. FFD0 call eax
0123EEF1 |. 5F pop edi
0123EEF2 |. 5E pop esi
0123EEF3 |. 8BE5 mov esp, ebp
0123EEF5 |. 5D pop ebp
0123EEF6 \. C3 retn
几处函数的入口均能看到账号和密码的明文，至于木马是利用特征定位后直接读取变量的内容还是做了hook跳转后截取，都是可以获取的。
这里只是揭示下它使用的技术原理，大家可以自行挖掘。
最后忘了说下，这个木马已经不能成功盗号了，魔兽世界能检测到此木马的，运行魔兽世界后要么crash，要么给出提示说感染了某某盗号木马，还一直有语音提示：
警报警报……
下面说下魔兽世界：
第一次接触魔兽是大学里头的室友在玩，很是入迷，整天都能听到“我离得太远了”、“我需要靠近一些”的声音。觉得这一定是当时一款目前比较好玩的游戏。
能让他们不上课不睡觉的玩。
现在下载下来体验，有几十个GB的大小，实在是太庞大了。不过画面我不喜欢，感觉太粗糙了，至少我不会去玩，我对画面的要求太高了。不过最新的CG做得不错。
wow主程序没有加壳，可以直接分析，反调试也不强，我等小菜鸟都可以分析。里面的账号密码啥的都是明文存在，对于盗号者来说太简单了。
但是它是成功的，与其做那么多的工作在安全上面，倒不如多花点心思在如何做好游戏上面。这一点国人是无法相比的，国产游戏与日俱增，做得那是啥啊一个比一个垃圾，
就看谁会炒作。虽然我不玩魔兽，但是我知道它为啥能吸引人，我挺你！
