病毒名称(中文):
完美武林盗号者81920
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
81920
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该木马是该木马群的变种之一,网络游戏《完美世界》和《武林外传》的盗号木马.病毒运行后会衍生病毒文件到临时文件夹路径下,把盗取的账号信息通过网页提交的方式发送到木马种植者手上
1.生成文件.
%profile%\LocalSettings\Temp\1js.dll
2.生成注册表,增加启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00C3C710-5DF9-42C3-916E-5EE7D13D09DC}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00C3C710-5DF9-42C3-916E-5EE7D13D09DC}@"Internet"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00C3C710-5DF9-42C3-916E-5EE7D13D09DC}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00C3C710-5DF9-42C3-916E-5EE7D13D09DC}\InProcServer32@""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00C3C710-5DF9-42C3-916E-5EE7D13D09DC}\InProcServer32ThreadingModel"Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks{00C3C710-5DF9-42C3-916E-5EE7D13D09DC}
3.病毒运行后会把dll文件注入到进程当中,通过设置消息钩子来盗取用户的账号资料.
4.把盗取的账号资料通过网页提交的方式发送到以下网址:
http://www.******.cn/htlin.asp
5.病毒运行后还会删除自身文件.
