Word/Excel文档伪装病毒-kspoold.exe分析

一、病毒样本基本信息

样本名称:kspoold.exe

样本大小: 285184 字节

样本MD5：CF36D2C3023138FE694FFE4666B4B1B2

病毒名称:Win32/Trojan.Spy.a5e

计算机系统中了该病毒一个比较明显的特征就是U盘里的.doc、.xls文件会被病毒隐藏起来，变成kspoold.exe病毒的载体文件，误导用户以为是原来的.doc、.xls文件达到传播病毒的目的，用户运行该kspoold.exe的载体病毒以后，病毒母体kspoold.exe就会驻留到用户的电脑里。

二、隐藏了.doc、.xls文档的衍生病毒的具体行为

1.从该样本文件的资源中获取名称为"UKURAN_EKSTRAKTO"的资源数据，然后解密该数据。

2.创建文件C:\WINDOWS\system32\kspoold.exe释放到系统目录C:\WINDOWS\system32下,并运行病毒母体文件kspoold.exe。

3.在该病毒样本的目录下，释放出原来正常的.doc、.xls文件

4.调用函数ShellExecuteA打开原来被隐藏的.doc、.xls文件，给用户造成假象。

5.通过字符串"COMSPEC"在系统的环境变量中查找到系统cmd.exe程序的路径"C:\\WINDOWS\\system32\\cmd.exe"

6.调用函数ShellExecuteA在"C:\\WINDOWS\\system32\\cmd.exe"中，执行命令"/c del \新建Microsoft Word 文档.exe\"删除 kspoold.exe的载体病毒例如”新建 Microsoft Word 文档.exe “文件自身。

三、病毒母体kspoold.exe的具体行为

1. 创建可执行文件C:\WINDOWS\system32\avmeter32.dll和C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\UninstallLog.dat。

2. 创建下面几个关键的注册表：

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon\Enum"

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon\Security

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kspooldaemon"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon\Enum"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon\Security

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kspooldaemon"

"HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_KSPOOLDAEMON\0000\Control"

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KSPOOLDAEMON\0000\Control"

3. 创建系统服务kspooldaemon, C:\WINDOWS\system32\kspoold.exe然后启动该系统服务kspooldaemon，系统服务kspooldaemon的作用是守护病毒母体进程kspoold.exe，它会实时的查询病毒母体进程kspoold.exe是否存在，一旦病毒母体进程kspoold.exe不存在，它就会马上创建病毒母体进程kspoold.exe。

4. 遍历系统所有程序的进程，找到资源管理器进程explore.exe，然后创建远程线程注入释放的C:\WINDOWS\system32\avmeter32.dll文件到资源管理器进程explore.exe中。

5. 获取用户操作系统的磁盘类型，针对用户的U盘里的.doc文件和.xls文件进行病毒感染处理，具体的感染处理是获取.doc文件和.xls的文件的图标，然后再重新构造一个和原来的.doc文件或者.xls文件同名并且图标是一样的载有病毒母体kspoold.exe的.EXE文件。

6. 获取用户操作系统的键盘布局信息以及设置键盘的消息钩子，对用户的键盘消息进行监听，记录用户的键盘按键的输入信息。

四、 kspoold.exe病毒专杀的编写思路

1. 关闭并删除 kspooldaemon系统服务以及删除C:\WINDOWS\system32\kspoold.exe文件。

2. 遍历系统里的所有程序的进程，查找到kspoold.exe进程然后结束它。

3. 删除下面几个注册表：