病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
14848
影响系统:
WinNTWin2000WinXP
病毒行为:
病毒在客户计算机上成功运行后删除自身。
病毒生成的"LYMANGR.dll"文件会枚举客户计算机上的进程,查找网络游戏"梦幻西游"的进程my.exe。再枚举该进程的模块,如没有发现另
一个文件MSDEG32.dll则通过写内存的方式把该病毒文件注入到my.exe里。
在客户计算机上创建了socket并绑定到"2*2.1*9.2*4.1*3"。
比较客户计算机上的"梦幻西游"游戏目录下的update.ini文件里的版本号是否等于1.5.120。
盗取客户计算机上的网络游戏"梦幻西游"的游戏帐号信息并发送到指定的接收网址。
添加文件:
%SystemRoot%\system32\LYLOADER.exe
%SystemRoot%\system32\LYMANGR.dll
%SystemRoot%\system32\MSDEG32.dll
添加注册表:
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDEG32
数据:"LYLoader.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDWG32
数据:"LYLoadbr.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDCG32
数据:"LYLeador.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDOG32
数据:"LYLoador.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDSG32
数据:"LYLoadar.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDMG32
数据:"LYLoadmr.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDHG32
数据:"LYLoadhr.exe"
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDQG32
数据:"LYLoadqr.exe"
指定的接收网址:
hxxp://www.5151la.com/mh2007/post2007kj.asp/?server=xx&gameid=xx&pass=xx&pin=xx&wupin=xx&role=xx&equ=现金:xx存银:xx&other=Build:xx
hxxp://www.raceswd.com/cs03/post.asp/?server=xx&gameid=xx&pass=xx&pin=xx&wupin=xx&role=xx&equ=现金:xx存银:xx&other=Build:xx