病毒名称(中文):
天龙盗号木马90112
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
偷密码的木马
病毒长度:
90112
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个针对网络游戏《天龙八部》的盗号木马。它会关闭电脑系统的自动更新和防火墙功能，并盗取游戏的帐号信息，发送至木马种植者指定的接收网址。
这是一个盗号木马,盗取系统上的网络游戏《天龙八部》的帐号信息并发送至木马种植者指定的接收网址.
病毒会删除系统上system32文件夹下的verclsid.exe文件.
通过操作注册表禁用系统的自动更新和防火墙功能,通过注册表的ShellExecuteHooks指向病毒文件,以达到开机自启动.
该病毒目前的版本会执行清除之前版本的功能.
病毒创建批处理文件(.bat格式)删除系统上%systemroot%\system32\文件夹下的verclsid.exe文件.
病毒把之前的其它病毒的文件删除,具体路径为%systemroot%\system32\WinFormA4.dll和%systemroot%\system32\WinFormA5.dll.(估计是本病毒的早期版本)
病毒运行后枚举当前系统的进程,如发现进程名为game.exe的,则结束该进程.
病毒执行释放文件和写注册表等操作后,创建批处理文件执行删除自身的目的.
在系统上安装三个钩子程序,挂钩类型分别为:WM_DESTROY、WM_SETFOCUS、WM_MOVE
病毒DLL文件%systemroot%\system32\WinFormA6.dll会判定自身是否注入到winlogin.exe,explorer,exe,game.exe进程,如无则退出.
创建线程操作注册表,禁用系统的自动更新和系统防火墙.
如病毒DLL文件注入到game.exe进程则开始执行盗号操作,盗取系统上的网络游戏《天龙八部》的帐号信息并发送至木马种植者指定的接收网址.
病毒运行后把自身复制至以下目录:
%systemroot%\system32\WinFormA6.dll
%systemroot%\system32\WinFormA6.exe
%systemroot%\system32\WinFormA6.ini
病毒添加以下注册表信息:
HKEY_CLASSES_ROOT\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}
HKEY_CLASSES_ROOT\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}\InprocServer32
HKEY_CLASSES_ROOT\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}\InprocServer32@"%systemroot%\system32\WinFormA6.dll"
HKEY_CLASSES_ROOT\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}\InprocServer32ThreadingModel"Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}\InprocServer32@"%systemroot%\system32\WinFormA6.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B12BC423-3713-224D-3F55-32B35C62B11B}\InprocServer32ThreadingModel"Apartment"
病毒的开机启动方式:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks{B12BC423-3713-224D-3F55-32B35C62B11B}"WinFormA6.dll"
木马种植者指定的帐号信息接收网址:
http://www.w**g.net.cn/tl**ngkuai//9898.asp?a={被盗号者的计算机名}&b=##&c=##&d=##&e=##&f=##&g=##&h=##&i=##&j=##&l=##