病毒名称(中文):
神泣盗贼41256
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
41256
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是网络游戏《神泣》的盗号木马。病毒运行后会关闭一些安全软件的进程，然后盗取游戏账号和密码等信息，并通过网页提交的方式发送到木马种植者手上。
1.生成隐藏病毒文件
%Sys32dir%\msosfasq.dat
%Sys32dir%\msosfasq00.dll
%Sys32dir%\drivers\msosmsfpfis64.sys
2.修改注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\WindowsAppInit_DLLs"""msosfasq00.dll"
3.生成服务
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64Typedword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64Startdword:00000002
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64ErrorControldword:00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64ImagePathhex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,64,72,69,76,65,72,73,5c,6d,73,6f,73,6d,73,66,70,66,69,73,36,34,2e,73,79,73,00,
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64DisplayName"msfpfis64"
4.病毒运行后会自删除.
5.病毒运行会把DLL文件注入到Explorer.exe进程和非系统进程当中.
6.病毒还会结束KWatch.exe,KPPMAIN.EXE,360SAFE.exe等安全软件的进程.
7.病毒会利用消息钩子盗取用户的账号和密码等信息,并以网页提交的方式发送到以下的网址当中:
http://www.******.com/haina/post.asp
