病毒名称(中文):
大话西游2盗号者65536
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
65536
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是网络游戏《大话西游II》的盗号木马。它运行后会将病毒文件衍生至系统目录下，破坏系统防火墙，然后偷取游戏账号。
1.生成文件.
%Windir%\system32\dhapri.dll
2.生成CLSID组件
HKEY_CLASSES_ROOT\CLSID\{12311A42-AC1B-158F-FD32-5674345F23A1}
HKEY_CLASSES_ROOT\CLSID\{12311A42-AC1B-158F-FD32-5674345F23A1}\InprocServer32
HKEY_CLASSES_ROOT\CLSID\{12311A42-AC1B-158F-FD32-5674345F23A1}\InprocServer32
Default="%Windir%\system32\dhapri.dll"
HKEY_CLASSES_ROOT\CLSID\{12311A42-AC1B-158F-FD32-5674345F23A1}\InprocServer32
ThreadingModel="Apartment"
3.生成注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
{12311A42-AC1B-158F-FD32-5674345F23A1}="dhapri.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows
AppInit_DLLs=%Windir%\system32\qhbpri.dll
4.修改以下注册表使Windows自动更新失效.
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\AUOptions
5.修改注册表以下地方使共享文件失去防火墙保护
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
6.在系统盘根目录下生成DeleteFileDos.bat文件实现自删除功能.
7.病毒会利用消息钩子盗取用户的账号和密码等信息,并以网页提交的方式发送到木马种植者手中.
http://w******2008.hanguoz.com/game40/post.asp
