Win32.PSWTroj.OnLineGames.

新客网 XKER.COM 2007-10-30 收藏本文

病毒行为:
这是一个网游盗号木马，该木马通过模拟鼠标点击的方式关闭部分安全软件的通知和报警窗口。通过读取游戏的内存空间来盗取天龙八部、惊天动地、浩方等游戏的帐号。
1.木马释放如下文件：
%systemboot%\system32\AVPSrv.dll
%systemboot%\AVPSvr.exe
2.病毒会添加病毒启动项，随着系统的启动触发病毒且运行．
　启动项名：AVPSvr.exe　　对应路径：%systemboot%\AVPSvr.exe
　3.病毒会监控部分杀软的警告窗口,当病毒进程AVPSvr.dll监测到都警告窗口,则会自动关闭该警告窗口(如:卡巴斯基,瑞星等)
4.通过读取内存的方式盗取用户打开的网游.
5.盗取到的信息会传送到指定的路径:http://fy1.s*****j.com/jjfy/lin.asp
信息上传网址：http://fy1.soujjjj.com/jjfy/lin.asp
------------------
所关闭的杀软窗口:
卡巴斯基的通知窗口和警告窗口
在进程快照中搜索RavMon.exe
------------------
搜索的游戏：
搜索TianLongBaBuWndClass 窗口
检查是否注入下列进程
LaTaleCliet.exe
gameclient.exe 浩方
cabalmain.exe 惊天动地

• ·Worm.Win32.Dolod.a
• ·Win32.TrojDownloader.Baser.W.37888
• ·VirTool/Paszczus
• ·Win32.Troj.MhXiYou.hl.135168
• ·网游窃贼变种imw
• ·Backdoor.Win32.Agent.evx
• ·小不点变种tmo
• ·Email-Worm.Win32.Klez.dc