病毒名称:
Trojan.PSW.MuPass.a
类别: 木马病毒
病毒资料:
破坏方法:
偷窃“奇迹”游戏帐号密码的木马,采用VB编写,UPX加壳。使用微软系统文件MMC.exe的图标,容易迷惑用户。
首次运行将自己复制到系统目录下,文件名为services.exe,并写注册表项:
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\policies\EXPlorer\Run
1 : %SYSDIR%\Service.exe
这样,每次开机病毒都能启动。
然后病毒删除自身,以免引起用户怀疑。
重新开机后病毒开始运行。
创建名称为"AhaiMu"的互斥量,保证系统只有一个病毒实例在运行。
遍历进程,结束以下进程:
assistse.exe,ravmon.exe,ravtimer.exe,rfw.exe,
kvapfw.exe,kvfw.exe,kvmonxp.kxp,kvsrvxp.exe,
kvxp.kxp,kvcenter.kxp,defwatch.exe,rtvscan.exe,
ccapp.exe,ccsetmgr.exe,vptray.exe,passWordguard.exe,
eGhost.exe,iparmor.exe,pfw.exe,teregpct.exe,
dfvsnet.exe,netbargp.exe,nmain.exe,navw32.exe,
kavsvcui.exe,kav32.exe
...
这些都是在国内使用比较广泛的杀毒软件,防火墙以及上网助手,可见病毒作者应该来自国内。
每隔0.1秒查找标题为"MU"的窗体(“奇迹”游戏主窗体标题)。若找到,则开始窃取帐号密码,从而造成用户损失。
将获得的信息直接发送到外部主机,包括:
帐号,
密码,
区域,
服务器,
角色,
机器名。
由于采用HTTP协议,容易躲过防火墙的拦截。
病毒的清除法:
使用光华反病毒软件,彻底删除。
病毒演示:
病毒FAQ:
Windows下的PE病毒。
发现日期:
2005-1-24