病毒名称： Trojan-PSW.Win32.WOW.bv
中文名称： 魔兽盗号者
病毒类型： 木马类
文件 MD5： 9145DFB96BD910A30C439F35AF7B310D
公开范围： 完全公开
危害等级： 中等
文件长度：46,211 字节
感染系统： Win9x以上系统
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： nSPack 3.1 -> North Star/Liu Xing Ping
命名对照： ewido[Trojan.WOW.bv]
病毒描述：
该病毒运行后，释放若干病毒副本到%Windows%与%System32\%目录下，修改注册表项HKEY_LOCAL_MACHINESOFTWAREClassesexefiles为winfiles，新建键值，把exe文件与病毒文件相关联，并添加启动项，以达到开机后运行病毒与打开任意程序即运行病毒的目的。该病毒会盗取“征途”、“魔兽”等网络游戏的个人信息，发到指定网站。
行为分析：
1、释放下列副本与文件
%Program FilesCommon Files\% iexplore.pif
%Windows\%1.com
%Windows\%ExERoute.com Trojan-PSW.Win32.WOW.bv
%Windows\%explore.com 同上
%Windows\%finder.com同上
%Windows\%KB890859.log同上
%Windows\%WINLOGON.EXE同上
%Windows\%LastCoodINFoem5.inf
%Windows\%LastCoodINFoem5.PNF
%System32\%command 指向MS-Dos的快捷方式
%System32\%dxdiag.com 同上
%System32\%finder.com 同上
%System32\%msconfig.com同上
%System32\%regedit.com同上
%System32\%rundll32.com同上
D:autorun.inf
D:pagefile.pif
2、新建注册表键值：
在此键值下新建若干病毒释放文件相关键值
HKEY_CURRENT_USERSoftwareMicrosoftWindows
ShellNoRoamBags15Shell
HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles
HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles
ShellOpenCommand@
键值: 字符串: "C:WINDOWSExERoute.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
iexplore.pifshellopencommand@
键值: 字符串:""C:ProgramFilescommon~1iexplore.pif""
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRunTorjan Program
键值: 字符串: "C:WINDOWSWINLOGON.EXE"
HKEY_LOCAL_MACHINESYSTEMLastKnownGoodRecovery
LastGood
HKEY_LOCAL_MACHINESYSTEMLastKnownGoodRecovery
LastGoodINF/oem5.inf
键值: DWORD: 1 (0x1)
3、病毒会检测下列进程，并关闭
ravmon.exe瑞星的实时监控组件
trojdie*江民监控程序
kpop*
ccenter*瑞星杀毒软件控制台相关程序
*assistse*
kpfw*天网个人防火墙
agentsvr*
kv*江民杀软进程
kreg*
iefind*
iparmor* 木马克星
svi.exe
uphc*
rulewize*
fygt*
rfwsrv*
rfwma*
4、通过修改WOW/
ealmlist.wtfr文件中地址，可转换服务器。
us.logon.worldofwarcraft.com 美服
eu.logon.worldofwarcraft.com欧服
tw.logon.worldofwarcraft.com 台服
搜集信息包括;
companyname;filedescription;fileversion;internalname;legalcopyright;
originalfilename;productname;productversion;comments;legaltr
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
WINLOGN.EXE
(2) 删除病毒文件
%Program FilesCommon Files\%
%Windows\%1.com
%Windows\%ExERoute.com
%Windows\%explore.com
%Windows\%finder.com
%Windows\%KB890859.log
%Windows\%WINLOGON.EXE
%Windows\%LastCoodINFoem5.inf
%Windows\%LastCoodINFoem5.PNF
%System32\%command 指向MS-Dos的快捷方式
%System32\%dxdiag.com
%System32\%finder.com
%System32\%msconfig.com
%System32\%regedit.com
%System32\%rundll32.com
D:autorun.inf
D:pagefile.pif
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
修改HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles
为HKEY_LOCAL_MACHINESOFTWAREClassesexefile
shellopencommand
"%1" %*
修改键值 HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles
ShellOpenCommand@
键值: 字符串: "C:WINDOWSExERoute.exe "%1" %*"
为HKEY_LOCAL_MACHINESOFTWAREClassesexefile
shellopencommand
键值: 字符串: "%1" %*
删除注册表项:HKEY_CURRENT_USERSoftwareMicrosoftWindows
ShellNoRoamBags15Shell
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRunTorjan Program
键值: 字符串: "C:WINDOWSWINLOGON.EXE"