病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
53248
影响系统:
WinNTWin2000WinXP
病毒行为:
这是一个盗号木马,盗取系统上的网络游戏《魔域》的帐号信息并发送到木马种植者指定的接收地址.该盗号木马是通过创建注册表启动项达到开机自启动的.可以关闭"卡巴斯基"和"瑞星"相关的提示窗口.
创建线程查找"AVP.AlertDialog",如查找到则模拟鼠标左键点击操作.查找"AVP.Product_Notification",如查找到则向窗口发送关闭消息.
查找"瑞星注册表监控提示",如查找到则向窗口发送关闭消息.
通过枚举进程,获取explorer.exe的PID后,把病毒文件Genprotect.dll注入explorer.exe进程.
病毒通过读取网络游戏《魔域》内存方式,盗取该游戏的帐号信息并发送到木马程植者指定的接收地址.
运行后释放以下文件:
%systemroot%\jinlwx.exe(病毒复本)
%systemroot%\system32\Genprotect.dll
创建注册表启动项:
Key:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Value:"GenProtect"
Data:"%systemroot%\jinlwx.exe"
接收地址:
hxxp://www.xia***9**.com/my***/shou1.asp?a=xx&s=xx&u=xx&p=xx&sp=xx&r=xx&l=xx&st=xx&m=xx&i=xx&c=xx
