病毒名称(中文):
问道木马213001
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
213001
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个针对网络游戏《问道》的盗号木马。该木马首先会遍历进程列表查找是否有卡巴斯基的进程，假如找到则修改系统时间为2003年，导致卡巴斯基失效。然后，该木马会注入桌面进程explorer.exe中，并展开全局监视，假如发现游戏主程序便注入其中，盗取用户的帐号信息。
1.查找avp.exe找到则修改系统时间为2003年
2.创建线程，查找如下窗口并关闭
#32770
AVP.AlertDialog
AVP.Product_Notification
AVP.TraffocMonconnectionTerm
3.将自身复制到C:\\WINDOWS\\system32\\kawdcaz.exe，更改属性为系统隐藏
4.添加注册表项实现开机自启动
HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kawdcaz@=%systemRoot%\system32\kawdcaz.exe
6.运行kawdca.exe，读取资源释放文件C:\\WINDOWS\\system32\\kawdcaz.bat
7.将kawdcaz.bat注入explorer.exe中，并设置全局钩子。假如检测到游戏程序则注入其主程序中，读取游戏内存盗取其帐号等信息