斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

"名將三國"盜號木馬Trojan-PSW.Win32.OnLineGames.eoja

"名將三國"盜號木馬

Trojan-PSW.Win32.OnLineGames.eoja

捕獲時間

2011-07-14

危害等級



病毒癥狀

  該樣本是使用“vc ”編寫的木馬程序,由微點主動防御軟件自動捕獲,長度為“63,544 字節”,圖標為,病毒擴展名為“.exe”,病毒偽裝成文件夾圖標并隱藏擴展名以迷

惑用戶,病毒主要通過“文件捆綁”、“下載器下載”,“網頁掛馬”等方式傳播,病毒目的盜取網游“名將三國”玩家賬號密碼,用戶中毒后正在運行的游戲將被強制關閉,將出現未知進

程等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。

如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜軟件”,請直接選擇刪除處理(如圖1)

 

圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-PSW. Win32.WOW.qzy”,請直接選擇刪除(如圖2)。

 

圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.手動刪除以下文件:
%Temp%\TQ36.tmp
%Temp%\QXQQw.DRV(隨機名)
%SystemRoot%\system\QXQQw.DRV
%SystemRoot%\system32\dsound.dll

2.修復系統正常文件
%SystemRoot%\system32\dsound.dll


變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

 病毒分析

1.創建進程快照,遍歷查找“名將三國”進程wof.exe,如果找到則強行結束。
2.在系統臨時目錄創建%Temp%\TQ36.tmp,釋放病毒程序到TQ36.tmp。
3.拷貝%Temp%\TQ36.tmp到%Temp%\QXQQw.DRV(隨機名),拷貝%Temp%\TQ36.tmp到%SystemRoot%\system\QXQQw.DRV。
4.創建互斥體"__INF_dsound.dll__",拷貝一份%SystemRoot%\system32\dsound.dll為%SystemRoot%\system32\dsound.dll.mod作為備份,通過修改重新構造PE文件dsound.dll從而達到執行dsound.ll文件時運行病毒代碼。
5.創建批處理文件%Temp%\delself.bat,寫入自刪除批處理命令,調用shell執行些批處理刪除此文件后退出程序。
6.當運行程序時自動加載dsound.dll,執行病毒代碼,創建鍵盤消息鉤子盜取名將三國玩家游戲賬號。

病毒創建文件:
%Temp%\TQ36.tmp
%Temp%\QXQQw.DRV(隨機名)
%SystemRoot%\system\QXQQw.DRV
%SystemRoot%\system32\dsound.dll

免費試用
下  載
安裝演示