利用《魔兽争霸3》漏洞传播的“***”蠕虫分析 - FreeBuf互联网安全新媒体平台 | 关注黑客与极客
利用《魔兽争霸3》漏洞传播的“***”蠕虫分析
腾讯电脑管家
共644522人围观
，发现 43 个不明物体
近日，腾讯电脑管家发现一个可疑脚本被创建为启动项，通过分析和搜索相关信息，发现大量网友反馈，重现了中毒场景。该蠕虫传播原理如下：
1， 蠕虫作者上传带蠕虫的魔兽地图，并以该地图创建房间吸引其他玩家进入房间游戏；
2， 玩家进入房间后，就会自动下载该地图，并进行游戏后，触发魔兽地图里恶意脚本。脚本利用漏洞成功在启动目录创建loil.bat脚本文件；
3， 当玩家重启电脑后，Loil.bat获得执行，通过脚本下载loli.exe执行；
4， Loli.exe把玩家魔兽目录下的正常地图文件全部感染植入蠕虫。玩家在不知情的情况下，会使用这些被感染的地图创建游戏，感染更多玩家；
5， 接着loli.exe释放魔兽插件War3_UnHack.asi。每当魔兽启动时，会自动加载该插件；
6， 玩家每次启动魔兽后War3_UnHack.asi获得执行权，又重新下载loil.exe蠕虫，使得该病毒难以删除。
详细的漏洞原理，可参照:
“***”蠕虫详细分析
一、整个蠕虫的大致运行流程如下图：
1、 魔兽争霸3游戏地图文件由多个部分组成，其中地图里的逻辑控制代码部份由war3map.j控制。该脚本文件由魔兽争霸3程序语言JASS编写而成，是地图文件里最重要部份之一。
2、地图中的脚本war3map.j文件被植入恶意脚本，该恶意脚本利用JASS写文件漏洞，在游戏开始后，创建loli.bat文件到系统启动目录里。当玩家第二天重新启动电脑后，该bat文件就获得执行机会。
3，loli.bat的功能是将脚本代码写入到 loli.vbs 文件中，loli.vbs是经过加密处理，解密后的loli.vbs，其功能是下载一个loli.bat到c:\loli.bat
下载下来的c:\loli.bat经过混淆处理，包括在文件头部添加unicode标识使得用文本编辑器打开后呈现乱码，其功能是删除c:\loli.vbs，并创建c:\loli.vbe
c:\loli.vbe经过编码，解码后代码如下图所示
解密后的c:\loli.vbe脚本内容如下，其功能是下载loli.exe运行
二、loli.exe主要负责下载***游戏的蠕虫插件，感染玩家正常地图文件植入恶意脚本
1、下载插件（War3_UnHack.asi）。该插件会随着魔兽争霸的启动而加载运行。主要用作下载木马，发布垃圾消息等。
2、删除loli.bat文件
3、修改魔兽争霸w3x格式的地图文件里的脚本控制模块war3map.j植入恶意代表码，导致该蠕虫可能在玩家之间大量传播。
（玩家正常地图文件被植入恶意脚本）
三、War3_UnHack.asi行为
通过把该文件放到魔兽争霸redist\miles目录下即可完成***。War3.exe每次启动就会加载该蠕虫插件。
该蠕虫会下载恶意程序执行。
在玩家游戏时，会调用jass函数自动发布广告。
腾讯电脑管家首发受感染地图修复工具，下载。
*作者：腾讯手机管家（企业账号），转载请注明来自FreeBuf黑客与极客（FreeBuf.com）
炸弹人出圣剑能修补该漏洞！！！
@ 臀印十方
为了防***, 所以加了个开机启动. 这是什么新型防***姿势?
anying0hao
我们当年都研究利用.bat bug想办法做网游形式的，可以角色读取储存的系统，结果问题太多没有解决。现在同样的思路另一个想法，就变成了病毒。技术无罪，人有罪啊
必须您当前尚未登录。
必须（保密）
腾讯电脑管家
腾讯电脑管家官方账号
关注我们 分享每日精选文章经典老牌游戏魔兽争霸3无法在Win8系统上正常运行的解决方法
互联网 & 07-14 17:21:33 & 作者：佚名 &
魔兽争霸3在网友心中一直有着很高的地位，遗憾的是在Win8系统上正常运行，这可让许多玩家伤透了心，解决方法是有的，下面为大家介绍两招可解决Win8无法运行魔兽争霸3的问题
　　作为经典的老牌游戏，魔兽争霸3在网友心中一直有着很高的地位，不过这款经典的游戏却无法在Win8系统上正常运行，这可让许多玩家伤透了心，不过有问题就有解决方法，毕竟魔兽迷的力量是很强大的。有两种妙招可以帮助我们解决Win8无法运行魔兽争霸3的问题。
　　无法运行魔兽争霸3的问题一：此版本魔兽争霸III需要特定语言版本之Windows。这个问题在Windows7测试版也出现过，解决方法很简单，修改魔兽争霸3语言，或者系统语言。
　　解决方案一：***《Win8简体中文语言包》然后 &Win+R& 输入®edit&，找到 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\Language，右侧窗口中找到这两个字符串值&Default&和&InstallLanguage&，将其数值数据修改为&0804&。
　　同时在注册表里面找到 HKEY_CURRENT_USER\Control Panel\International 把&Locale&数值数据改为&& ，然后注销或者重新启动下Windows8。
　　解决方案二：用魔兽争霸3英文版+中文版补丁也可以解决。解决方案3：等Windows8官方简体中文版，如果你有耐心的话。解决方案4：用 ultraedit 软件打开game.dll文件，把3DB 改为3DB (不推荐这个办法，不适合新手)。
　　无法运行魔兽争霸3问题二：运行魔兽3提示不能初始化声音设备，和无法切换到桌面问题，解决也是很容易，借助一款小工具。
　　解决方案：用D3DWindower工具 或 零度魔兽助手 来运行魔兽争霸3就能解决!还能窗口化模式运行魔兽争霸3哦!
　　魔兽争霸3在Win8系统上运行不了?这根本不可能！网友的智慧是无穷的，以上几种方法巧妙的帮助你解决了Win8无法运行魔兽争霸3的问题。当然Win8的游戏兼容性没有Win7及XP出彩，操作方面也与以往有些不同，也许在玩的过程中会有少许的不适应，但这并不影响高玩们，解决了无法运行的问题，剩下的就看网友们的技术啦。
大家感兴趣的内容
12345678910
最近更新的内容