病毒名称(中文):
大话西游窃贼83800
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
偷密码的木马
病毒长度:
83800
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个针对网络游戏《大话西游Online2》的盗号木马。该木马会关闭系统的自动更新，注入其它进程，同时会监控注册表，防止自己的注册表项被更改。假如检测到有游戏进程，它就以读写游戏内存数据的方式盗取帐号信息，并回传到指定的网址。
1.木马释放如下文件：
%systemRoot%systrm32\kvdxjisa.exe
%systemRoot%systrm32\kvdxjma.dll
%systemRoot%Fonts\ardaase.fon
%systemRoot%Fonts\kvdxjcf.dll
%systemRoot%Fonts\kvdxjcfa.dll
2.添加注册表项，注册为系统组件
[HEKY_CLASS_ROOT\CLSID\{AC87A354-ABC3-DEDE-FF33-3213FD7447CA}\InprocServer32]
@="C:\\WINDOWS\\system32\\kvdxjma.dll"
"ThreadingModel"="Apartment"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AC87A354-ABC3-DEDE-FF33-3213FD7447CA}\InprocServer32]
@="C:\\WINDOWS\\system32\\kvdxjma.dll"
"ThreadingModel"="Apartment"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{AC87A354-ABC3-DEDE-FF33-3213FD7447CA}"="kvdxjma.dll"
3.添加注册表项，关闭自动更新
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000001
"AUOptions"=dword:00000001
4.修改如下注册表项的键值为kvdxjma.dll：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows]
"AppInit_DLLs"="kvdxjma.dll"
当发现注入的是游戏主程序的时候则修改游戏的内存空间盗取用户的帐号信息。
