斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

星辰變盜號木馬Trojan-PSW.Win32.OnLineGames.epmn

星辰變盜號木馬

Trojan-PSW.Win32.OnLineGames.epmn

捕獲時間

2011-09-30

危害等級



病毒癥狀

  該樣本是使用“VC ”編寫的星辰變盜號木馬,由微點主動防御軟件自動捕獲,長度為“25,600字節”,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“網頁掛馬”、“下載器下載”等方式傳播,病毒主要目的為盜取用戶星辰變游戲帳號和密碼信息。
  用戶中毒后,會出現計算機及網絡運行緩慢,游戲軟件無故關閉報錯等信息。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-PSW.Win32.OnLineGames.epmn”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1、手動刪除以下文件:

星辰變安裝目錄\GPKHelp.dll
星辰變安裝目錄\binkw32.dll
星辰變安裝目錄\test.bat

2、手動添加以下文件:

原星辰變游戲安裝目錄下\binkw32.dll

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%   臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%    系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

1.病毒運行后,首先遍歷窗口查找是否存在星辰變游戲窗口“XCBClientWnd”,如果存在,發送消息關閉該窗口;
2.獲取名稱為“CYXCB”的???,獲取后加載該???,找到該??槲恢?,以此獲得游戲安裝目錄;
3.如果獲取??槭О?,會查找是否存在注冊表項HEKY_LOCAL_MACHINE\snda\XCB,如果存在,獲取該項下path鍵值中的路徑信息,以此獲得游戲的安裝目錄;
4.查找游戲安裝目錄下是否存在名稱為GPKHelp.dll的文件,如果存在,則刪除該文件,然后重新創建該文件,寫入數據,設置文件屬性為隱藏 ;
5.查找游戲安裝目錄下是否存在名稱為binkw32.dll(該文件為星辰變游戲運行中需要加載的庫文件)的文件,如果存在,獲取文件的信息,刪除該文件,重新創建該文件,讀取GPKHelp.dll文件內容,寫入病毒代碼,重新寫的文件與原文件大小一樣,這樣病毒就可以隨游戲啟動而啟動了;
6.在游戲安裝目錄下創建批處理文件test.bat,運行批處理,用于刪除病毒原文件自身;
7.星辰變游戲啟動后,加載被病毒感染的binkw32.dll,創建消息鉤子,獲取用戶游戲的賬號和密碼信息,發送到黑客指定地址;

病毒創建文件:

星辰變安裝目錄\GPKHelp.dll
星辰變安裝目錄\binkw32.dll
星辰變安裝目錄\test.bat

相關主題:
沒有相關主題

免費試用
下  載
安裝演示