Win32.Troj.Unknown.213001

2008-08-14 23:01:56  編輯來源:互聯網  简体版  手機版  評論  字體: 小|中|大

 

　　病毒名称(中文):

　　问道木马213001

　　病毒别名:

　　

　　

　　威胁级别:

　　★☆☆☆☆

　　病毒类型:

　　偷密码的木马

　　病毒长度:

　　213001

　　影响系统:

　　Win9xWinMeWinNTWin2000WinXPWin2003

　　

　　病毒行为:

　　这是一个针对网络游戏《问道》的盗号木马。该木马首先会遍历进程列表查找是否有卡巴斯基的进程，假如找到则修改系统时间为2003年，导致卡巴斯基失效。然后，该木马会注入桌面进程explorer.exe中，并展开全局监视，假如发现游戏主程序便注入其中，盗取用户的帐号信息。

　　1.查找avp.exe找到则修改系统时间为2003年

　　2.创建线程，查找如下窗口并关闭

　　#32770

　　AVP.AlertDialog

　　AVP.Product_Notification

　　AVP.TraffocMonconnectionTerm

　　3.将自身复制到C:\\WINDOWS\\system32\\kawdcaz.exe，更改属性为系统隐藏

　　4.添加注册表项实现开机自启动

　　HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kawdcaz@=%systemRoot%\system32\kawdcaz.exe

　　6.运行kawdca.exe，读取资源释放文件C:\\WINDOWS\\system32\\kawdcaz.bat

　　7.将kawdcaz.bat注入explorer.exe中，并设置全局钩子。假如检测到游戏程序则注入其主程序中，读取游戏内存盗取其帐号等信息

 

 

 

病毒名称(中文): 问道木马213001 病毒别名: 威胁级别: ★☆☆☆☆ 病毒类型: 偷密码的木马 病毒长度: 213001 影响系统: Win9xWinMeWinNTWin2000WinXPWin2003 病毒行为: 这是一个针对网络游戏《问道》的盗号木马。该木马首先会遍历进程列表查找是否有卡巴斯基的进程，假如找到则修改系统时间为2003年，导致卡巴斯基失效。然后，该木马会注入桌面进程explorer.exe中，并展开全局监视，假如发现游戏主程序便注入其中，盗取用户的帐号信息。 1.查找avp.exe找到则修改系统时间为2003年 2.创建线程，查找如下窗口并关闭 #32770 AVP.AlertDialog AVP.Product_Notification AVP.TraffocMonconnectionTerm 3.将自身复制到C:\\WINDOWS\\system32\\kawdcaz.exe，更改属性为系统隐藏 4.添加注册表项实现开机自启动 HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kawdcaz@=%systemRoot%\system32\kawdcaz.exe 6.运行kawdca.exe，读取资源释放文件C:\\WINDOWS\\system32\\kawdcaz.bat 7.将kawdcaz.bat注入explorer.exe中，并设置全局钩子。假如检测到游戏程序则注入其主程序中，读取游戏内存盗取其帐号等信息