病毒名称(中文):
网游盗号木马151552
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
151552
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个会盗取多个网络游戏帐号信息的木马程序。它通过创建注册表启动项开机自启动，然后创建线程关闭“卡巴斯基”和“瑞星”的相关监控提示窗口，最后将Dll文件注入的游戏进程执行盗号行为。
病毒运行后会释放以下病毒文件:
%systemroot%\SHAProc.exe
%systemroot%\system32\SHAProc.dll
创建线程查找窗口类名为"AVP.AlertDialog"、"AVP.Product_notification"和窗口名为"瑞星注册表监控提示"的窗口,如找到AVP的,则模拟鼠标点击操作点击"答应"通过.如找到瑞星的,则直接发送系统消息关闭.
病毒枚举系统进程,查找explorer.exe进程,并把病毒文件%systemroot%\system32\SHAProc.dll注入到其进程内.
病毒在系统上安装全局钩子,钩子类型为:WM_MOVE.
病毒文件%systemroot%\system32\SHAProc.dll判定自身是否注入到以下进程,如是则执行相关的操作:
china_login.mpr
_FJLogin.bin
cabalmain.exe
病毒盗取系统上的网络游戏《破天一剑》、《风火之旅》、《惊天动地》帐号信息,并把盗取所得的帐号信息发送至木马种植者指定的接收网址.
病毒创建注册表启动项:
Key:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Value:"SHAProc"
Data:"%systemroot%\SHAProc.exe"
该病毒内木马种植者指定的接收网址:
http://www.d**910.com/pt**33/shou333.asp?u=##&p=##&r=##&l=##&m=##&a=##&s=##&sp=##[china_login.mpr]
http://www.d**910.com/pt**33/shuo333.asp?a=##&s=##&u=##&r=##&l=##&m=##&p=##[cabalmain.exe]
