病毒别名:
处理时间:2005-09-08
威胁级别:★
中文名称:
病毒类型:木马
影响系统:Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个盗取魔兽游戏帐号和密码的木马程序.
该病毒能释放病毒文件,修改注册表项,关闭大量安全软件;能自动查找魔兽的窗口,安装消息钩子,截获用户输入的信息,然后通过自带的smtp引擎发送到指定邮箱.该病毒还能从指定网地址下载病毒文件,并运行.该病毒有一个特点,必须重新启动机器后才能盗取魔兽密码,而且盗号功能只针对xp以上的系统.
1,释放文件到以下目录:
%system%msdll.dll
%windows%
%root%Program Filessvhost32.exe
2,增加注册表项:
HKCUSoftwareMicrosoftWindows NTCurrentVersionWindows
"load" = "%root%Program Filessvhost32.exe"
达到自启动的目的
3,关闭下列进程:
'RavMon.exe'
'天网防火墙个人版'
'天网防火墙企业版'
'TfLockDownMain'
'ZoneAlarm'
'噬菌体'
'ZAFrameWnd'
'EGHOST.EXE'
'MAILMON.EXE'
'KAVPFW.EXE'
'IPARMOR.EXE'
'Ravmon.EXE'
4,从下列地址下载病毒文件并运行:
http://www.abc.com/hehe/123.exe
5,修改wininit.ini文件,把病毒释放的dll以重命名的方式,替换掉一个系统文件.导致每次这个系统文件被掉用的时候,该带病的dll被调用.要利用这种方式,需要重新启动用户机器.
6,病毒释放的%system%msdll.dll文件,是一个专门盗取魔兽游戏帐号和密码的病毒.该病毒能够安装消息钩子,自动查找魔兽游戏的窗口,记录用户输入的帐号和密码等信息,然后把病毒信息发送到指定的邮箱.