Win32.PSWTroj.OnlineGames.tm.65536

病毒名称(中文):大话西游2盗号者65536病毒别名:威胁级别:★☆☆☆☆病毒类型:偷密码的木马病毒长度:65536影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为:

该病毒是网络游戏《大话西游II》的盗号木马。它运行后会将病毒文件衍生至系统目录下，破坏系统防火墙，然后偷取游戏账号。

1.生成文件.

%Windir%system32dhapri.dll

2.生成CLSID组件

HKEY_CLASSES_ROOTCLSID{12311A42-AC1B-158F-FD32-5674345F23A1}

HKEY_CLASSES_ROOTCLSID{12311A42-AC1B-158F-FD32-5674345F23A1}InprocServer32

HKEY_CLASSES_ROOTCLSID{12311A42-AC1B-158F-FD32-5674345F23A1}InprocServer32

Default = "%Windir%system32dhapri.dll"

HKEY_CLASSES_ROOTCLSID{12311A42-AC1B-158F-FD32-5674345F23A1}InprocServer32

ThreadingModel = "Apartment"

3.生成注册表启动项

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks

{12311A42-AC1B-158F-FD32-5674345F23A1} = "dhapri.dll"

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows

AppInit_DLLs = %Windir%system32qhbpri.dll

4.修改以下注册表使Windows自动更新失效.

HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateAUNoAutoUpdate

HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateAUAUOptions

5.修改注册表以下地方使共享文件失去防火墙保护

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileEnableFirewall

6.在系统盘根目录下生成 DeleteFileDos.bat文件实现自删除功能.

7.病毒会利用消息钩子盗取用户的账号和密码等信息,并以网页提交的方式发送到木马种植者手中.

http://w******2008.hanguoz.com/game40/post.asp