病毒名称(中文):
梦幻西游盗号器135168
病毒别名:
合作愉快盗号器,梦幻西游盗号木马
威胁级别:
★★☆☆☆
病毒类型:
偷密码的木马
病毒长度:
31411
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是个网游盗号木马。它会盗取网络游戏《梦幻西游》的帐号。为了躲避杀毒软件的查杀，病毒作者通过加壳加花指令进行免杀处理。并且，他为了独占从用户机器所窃取的信息，还会破坏其它木马下载器的正常运行。
1.释放文件c:\ProgramFiles\inell.exe并运行，修改hosts文件屏蔽部分木马下载站点，达到黑吃黑的目的。
2.inell.exe运行后释放文件到系统目录下
x:\windows\system32\HBKrnl.dll，木马窃取信息的任务由这个驻留系统的dl来完成。
3.通过RUNDLL32.exe注册病毒释放的HBKrnl.dll，HBKrnl.dll在目录下释放驱动x:\windows\system32\drivers\HBKernel.sys,创建服务HBKrnl来加载HBKernel.sys。
4.病毒在注册表中创建启动项，每次系统启动时将加载该dll；
HKLM\software\microsoft\windows\currentversion\run,"hbKernel"=
RUNDLL32.EXEC:\WINDOWS\System32\HBKrnl.dll,DllRegisterServer；
5.病毒检测系统内是否存在my.exe进程，监控梦幻西游文件mhmain.dll是否处于活动状态，如发现处于活动状态则关闭游戏进程，用户重新进入游戏时记录帐号密码等信息，窃取成功后发送到以下地址：
http://mail.h***yukuai.com/mh/mh666666f/ylin.asp
http://www.6***q2.cn/lling005/mdb5postasp.asp
http://www.6***h1.cn/mdb5postasp.asp
http://www.6***h2.cn/mdb5postasp.asp
病毒作者试图玩个幽默，写入“合作愉快”，但错打为hezuoyuku。
6.病毒原文件释放一个删除自身的bat文件，运行bat文件清除病毒痕迹。