病毒名称(中文):
网游盗号者16531
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
32531
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个网络游戏盗号木马变种。病毒运行后复制自身至系统文件夹，并释放Dll注入桌面进程，修改注册表以开机自启动。病毒通过注入的方式搜索当前进程是否指定网络游戏进程，假如是则通过内存读写的方式盗取网络游戏帐号和密码等信息，发送至远程网址。病毒通过创建线程，定时（1秒）搜索并关闭卡巴斯基和瑞星的实时监控窗口，使用mixerOpen、mixerSetControlDetails打开和控制音量，以防用户察觉。
(1)生成文件
%windir%\msccrt.exe
%windir%\security\tmp.edb
%sys32dir%\msccrt.dll
最后删除自身
(2)生成注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runmsccrt"%windir%\msccrt.exe"
(3)创建线程，定时（1秒）搜索并关闭卡巴斯基和瑞星的实时监控窗口，使用mixerOpen、mixerSetControlDetails打开和控制音量，以防
用户察觉
AVP.AlertDiaglog
AVP.Product_Noification
瑞星注册表监控提示
(4)msccrt.dll通过注入系统程序进程，查找当前进程是否ElementClient.exe、china_login.mpr、gameclient.exe、SO2Game、Conquer.exe，假如是则开始盗号操作：
通过读写内存的方式盗取网络游戏"破天一剑"和"完美世界"、SO2Game、征服等的帐号、密码信息，盗取成功后发送至远程网址
(5)通过读写配置文件判定用户所在服务器
userdata\currentserver.ini
