Win32.Troj.PSWGamec.ds

Win32.Troj.PSWGamec.ds 我要评论

病毒别名： 处理时间：2006-08-22 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒为Windows平台下针对于网域网络游戏的盗号型病毒，病毒运行后将自身伪装成联想的程序名，病毒在后台实时监视病毒的完整性，注册表自启动项的完整性，使用户较难删除该病毒；同时终止用户相关防病毒软件、在后台盗取用户帐号、密码信息。

病毒主要通过网络欺骗方式进行传播。

1、病毒运行时将自身复制至Windows目录下:

%Windir%lenveo.exe

2、运行过程中释放出如下dll文件:

%Windir%system32lenveo.dll

3、病毒通过添加如下注册表项使病毒开机后自动运行:

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]

"leass" = "%Windir%lenveo.exe"

4、病毒运行时将"%Windir%system32lenveo.dll"注入到Explorer进程中，用于更隐蔽的方式在后台执行监视记录

操作。

5、dll运行过程中实时检测"%Windir%lenveo.exe"是否存在，如果不存在则生成该文件。

6、病毒尝试读取如下注册表的键值，以获取游戏的帐号密码:

[HKEY_CURRENT_USERSoftwareszDomainGamePlaceUserInfo]

EncryptPass = value

7、病毒同时会通过查找包含以下字符串的窗体进行定位游戏进程，然后获取游戏帐号密码信息:

Internet Explorer_Server

登陆到游戏广场

用户名

8、病毒运行过程中会中止以下相关进程:

ollydbg.exe

Ravmond.EXE

MAILMON.EXE

KAVPFW.EXE

Ravmon.EXE

EGHOST.EXE

9、病毒同时中止包含以下窗体名/窗体类名的相关程序:

TfLockDownMain

噬菌体

ODbyDYK

OllyDbg

ZoneAlarm

ZAFrameWnd

10、获取相关信息后，病毒将信息发送给病毒作者指定的邮箱