病毒名称(中文):
传奇盗号下载器159744
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
159744
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
此病毒是一个网游盗号木马。它会盗窃《传奇》的帐号密码，同时还会下载其它木马到用户电脑中运行。
1.当加载本DLL时加载msvcrt.dll以及自身
2.检查是否由explorer.exe加载，若不是则找到顶部窗口的句柄，然后将自身注入进去，创建线程执行；
3.检查是否被360safe.exe或者KWatch.exe加载，若是则将360和金山监控关闭
4.在以下注册表中添加一个字符串项，名称为AppInit_Dlls，值为当前的dll名，一般为SDDynDll.dll、SDDynDl1.dll、SDDynDl2.dll、SDDynDl3.dll
HKEY_LOCAL_MACHINE\software\Microsoft\WindowsNT\CurrentVersion\Windows
5.检查是否注入到mir1.dat进程，即是传奇的进程，得到用户信息，将其保存到c:\cqit_log.txt，从%system%\msoscqit.dat读取网址下载到内存运行