Trojan-PSW.win32.GamePass.gd
病毒名称： Trojan-PSW.win32.GamePass.gd
病毒类型： 木马
文件 MD5： FB05BC1DC3C1CA66E44E8B69AEADEEE5
公开范围： 完全公开
危害等级： 3
文件长度：38,289 字节
感染系统： windows98以上版本
加壳类型： 未知壳
病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件到系统目录下，修改注册表，使系统静音，添加启动项，以达到随机启动的目的。伪装系统进程。病毒释放的文件Lgsym.dll插入系统进程explorer.exe中。这是一个未知壳，未脱壳时不能在虚拟机中运行，脱壳后可以运行。未脱壳运行后会生成以下文件：
%WINDIR%5359-8621-2429-7641-5702ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702Licence.SLS
而脱壳后运行无上术文件。说明上述文件是壳释放的文件。
该木马专门盗取网络游戏完美世界的账号与密码。衍生的文件LgSyl.dll可以监视完美世界进程ElementClient.exe并记录游戏账号与密码。
行为分析：
1、病毒运行后衍生病毒文件到系统目录下：
%system32%lgsym.dll
%system32%winsusrm.dll
%WINDIR%iexpl0re.exe
%WINDIR%5359-8621-2429-7641-5702ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702Licence.SLS
2、修改注册表，添加启动项，以达到随机启动的目的：
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
键值: 字串: "0wexiqd6lx"="C:winntiexpl0re.exe"
3、修改注册表，使系统静音：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlDeviceClasses
{6994AD04-93EF-11D0-A3CC00A0C9223196}##?#PCI#VEN_8086&DEV_24C5&SUBSYS_4720414C&REV
_02#3&13C0B0C5&0&FD#{6994ad04-93ef-11d0-a3cc-00a0c9223196}#WaveDevice ParametersMixer Controls1
新建键值：字串："Channel0"=DWORD: 1 (0x1)
原键值：字串："Channel0"=DWORD: 0 (0)
4、伪装系统进程：
该病毒进程名为iexpl0re.exe伪装系统进程iexplore.exe。
5、病毒释放的文件Lgsym.dll插入系统进程explorer.exe中。
LgSym.dllTrojan-PSW.Win32.Nilage.gp
LgSym.dll可以监视网络游戏完美世界进程ElementClient.exe，当用户启动ElementClient.exe进程后，病毒会记录输入的游戏账号与密码。
server=?
&
gameid=&
&
pass=
&
pin=
&
wupin=
&
role=
&
equ=
&
other=
server=?
&
gameid=&
机器名:%20viewstatus.asp
金钱：
金
银
铜
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
iexpl0re.exe
结束进程explorer.exe后立即删除文件Lgsym.dll。
(2) 删除病毒文件
%system32%lgsym.dll
%system32%winsusrm.dll
%WINDIR%iexpl0re.exe
%WINDIR%5359-8621-2429-7641-5702ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702Licence.SLS
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
键值: 字串: "0wexiqd6lx"="C:winntiexpl0re.exe"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlDeviceClasses
{6994AD04-93EF-11D0-A3CC00A0C9223196}##?#PCI#VEN_8086&DEV_24C5&SUBSYS_4720414C&REV_02
#3&13C0B0C5&0&FD#{6994ad04-93ef-11d0-a3cc-00a0c9223196}#WaveDevice ParametersMixer Controls1
新建键值：字串："Channel0"=DWORD: 1 (0x1)
原键值：字串："Channel0"=DWORD: 0 (0)