病毒名称： Trojan-PSW.Win32.WOW.de
病毒类型： 木马
文件 MD5： 8C25E6C03FB4A961495D30C96DAAC5CE
公开范围： 完全公开
危害等级： 中
文件长度： 47,082 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： nSPack 3.1
命名对照： Symentec[Infostealer.Wowcraft]
Mcafee[无]
病毒描述：
该病毒属木马类，是专门盗取游戏魔兽世界账号密码的病毒。病毒运行后释放病毒文件，修改注册表键值，新建注册表，添加启动项，以达到随机启动的目的，病毒进程伪装系统进程lsass.exe，区别是系统进程名为小写lsass.exe，用户名为system，而病毒进程名为大写LSASS.EXE，用户名为用户机器名。并且在任务管理器中不能关闭病毒进程，需要用其他工具关闭。当用户登陆魔兽世界时，病毒会记录用户输入的账号和密码，放在病毒释放的病毒文件%WINDIR%io.sys.bak中。并以FTP的形式发送给病毒作者。
行为分析：
1、病毒运行后释放病毒文件：
%WINDIR%exert.exe
%WINDIR%io.sys.bak
%WINDIR%lsass.exe
%system32%dxdiag.com
%system32%msconfig.com
%system32%
egedit.com
%Program Files%Internet Explorerintexplore.com
%Program Files%Common Filesintexplore
其中除%WINDIR%io.sys.bak外均为病毒自身。
2、病毒运行后修改注册表：
HKEY_LOCAL_MACHINESOFTWAREClasses.exe
新建键值: 字串: "默认"="WindowFiles"
原键值: 字串: "默认"="exefile"
HKEY_LOCAL_MACHINESOFTWAREClassesApplications iexplore.exeshellopen
新建键值: 字串: " command "=""C:Program FilesInternet Explorer INTEXPLORE.com" %1"
原键值: 字串: " command "=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{871C5380-42A0-1069-A2EA
08002B30309D}shellOpenHomePageCommand
新建键值: 字串: "默认"=""C:Program FilesInternet ExplorerINTEXPLORE.com""
原键值: 字串: "默认"="C:Program FilesInternet Exploreriexplore.exe
HKEY_LOCAL_MACHINESOFTWAREClassesftpshellopencommand
新建键值: 字串: "默认"=""C:Program FilesInternet ExplorerINTEXPLORE.com" %1"
原键值: 字串: "默认"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopencommand
新建键值: 字串: "默认"=""C:Program FilesInternet ExplorerINTEXPLORE.com" -nohome"
原键值: 字串: "默认"=""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopennewcommand
新建键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif" %1"
原键值: 字串: "默认"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesHTTPshellopencommand
新建键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif" -nohome"
原键值: 字串: "默认"=""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
新建键值: 字串: "默认"="INTEXPLORE.pif"
原键值: 字串: "默认"="IEXPLORE.EXE"
3、新建注册表，添加启动项，以达到随机启动的目的：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRun
键值: 字串: "ToP "="C:WINDOWSLSASS.exe"
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
键值: 字串: "Check_Associations "="No"
HKEY_CURRENT_USERSoftwareMicrosoftWindows
ShellNoRoamMUICache
键值: 字串: "C:Program Filescommon~1INTEXPLORE.pif
"="INTEXPLORE"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFiles
键值: 字串: "默认"="%1"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFiles
DefaultIcon
键值: 字串: "默认"="%1"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShell
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFiles
ShellOpen
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShell
OpenCommand
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShell
OpenCommand
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pif
键值: 字串: "默认"="INTEXPLORE"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifLocalizedString
键值: 字串: "默认"="INTEXPLORE"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshell
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshellopen
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshellopencommand
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshellopencommand
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
4、当用户登陆魔兽世界时，病毒会记录用户输入的账号和密码，记录在病毒释放的病毒文件%WINDIR%io.sys.bak。并以FTP的形式发送给病毒作者。
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDIR%exert.exe
%WINDIR%io.sys.bak
%WINDIR%lsass.exe
%system32%dxdiag.com
%system32%msconfig.com
%system32%
egedit.com
%Program Files%Internet Explorerintexplore.com
%Program Files%Common Filesintexplore
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
改回被修改的注册表项，修改后的键值应为原键值：
HKEY_LOCAL_MACHINESOFTWAREClasses.exe
新建键值: 字串: "默认"="WindowFiles"
原键值: 字串: "默认"="exefile"
HKEY_LOCAL_MACHINESOFTWAREClassesApplications
iexplore.exeshellopen
新建键值: 字串: " command "=""C:Program Files
Internet Explorer INTEXPLORE.com" %1"
原键值: 字串: " command "=""C:Program Files
Internet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID
{871C5380-42A0-1069-A2EA
08002B30309D}shellOpenHomePageCommand
新建键值: 字串: "默认"=""C:Program FilesInternet Explorer
INTEXPLORE.com""
原键值: 字串: "默认"="C:Program FilesInternet Explorer
iexplore.exe
HKEY_LOCAL_MACHINESOFTWAREClassesftpshellopencommand
新建键值: 字串: "默认"=""C:Program FilesInternet Explorer
INTEXPLORE.com" %1"
原键值: 字串: "默认"=""C:Program FilesInternet Explorer
iexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshell
opencommand
新建键值: 字串: "默认"=""C:Program FilesInternet Explorer
INTEXPLORE.com" -nohome"
原键值: 字串: "默认"=""C:Program FilesInternet Explorer
iexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopennew
command
新建键值: 字串: "默认"=""C:Program Filescommon~1
INTEXPLORE.pif" %1"
原键值: 字串: "默认"=""C:Program FilesInternet Explorer
iexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesHTTPshell
opencommand
新建键值: 字串: "默认"=""C:Program Filescommon~1
INTEXPLORE.pif" -nohome"
原键值: 字串: "默认"=""C:Program FilesInternet Explorer
iexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
新建键值: 字串: "默认"="INTEXPLORE.pif"
原键值: 字串: "默认"="IEXPLORE.EXE"
删除以下注册表项：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRun
键值: 字串: "ToP "="C:WINDOWSLSASS.exe"
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
键值: 字串: "Check_Associations "="No"
HKEY_CURRENT_USERSoftwareMicrosoftWindows
ShellNoRoamMUICache
键值: 字串: "C:Program Filescommon~1INTEXPLORE.pif "="INTEXPLORE"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFiles
键值: 字串: "默认"="%1"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesDefaultIcon
键值: 字串: "默认"="%1"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShell
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShellOpen
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShellOpenCommand
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClassesWindowFilesShellOpenCommand
键值: 字串: "默认"="C:WINDOWSEXERT.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pif
键值: 字串: "默认"="INTEXPLORE"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifLocalizedString
键值: 字串: "默认"="INTEXPLORE"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshell
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshellopen
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshellopencommand
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
INTEXPLORE.pifshellopencommand
键值: 字串: "默认"=""C:Program Filescommon~1INTEXPLORE.pif""