病毒名称(中文):
网游盗号木马102400
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
102400
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个针对多款网络游戏的盗号木马。它会通过读取内存的方式盗取用户的游戏帐号信息，并且关闭卡巴斯基及瑞星的警告窗口，阻止卡巴和瑞星向用户报告系统中的异常。
1.创建线程，循环查找如下窗口，找到则模拟鼠标点击关闭该窗口。
AVP.AlertDialog
AVP.Product_Notification
瑞星注册表监控提示
2.将自身复制到%SystemRoot%\DbgHlp32.exe
3.添加如下注册表项，实现开机自启动
[HEKY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"DbgHlp32"="%SystemRoot%\DbgHlp32.exe"
4.读取资源释放如下文件%SystemRoot%\DbgHlp32.dll
5.将该dll文件注入explorer.exe并设置全局钩子。假如检测到自己注入的进程为指定游戏的主程序则通过读取游戏住程序内存的方式获取用户的帐号信息并上传到木马投放者指定的网址。
6.创建一个批处理文件删除自身。
查找的游戏名称
gameclient.exe浩方对战平台
xymain.bin大话西游3
china_login.mpr破天一剑
SO2Game剑侠2
Conquer.exe征服
QQlogin.exeqq华夏
Soul.exe魔域
