2010年1月5日【大话西游盗号木马衍生病毒到临时目录】

以下是2010年1月5日的安天实验室在最新捕获的病毒样本中选取的病毒样本所做的日报内容 。有任何建议或意见请即时发送邮件：avengert@antiy.net，我们会尽快予以答复.
        ======================================================================================================
        安天实验室每日病毒预警

一、“大话木马”（Trojan/Win32.WOW.vno[Stealer]）  威胁级别：★★★★
     该病毒文件为大话西游游戏盗号木马，病毒运行后创建t322025.ini到%System32%目录下，衍生随机病毒名文件到临时目录下，遍历进程查找AVP.EXE进程，如果进程存在则拷贝rundll32.exe一份重命名为t322025.exe，调用CMD命令使用被重命名的t322025.exe文件（原文件名rundll32.exe）来启动临时目录下的病毒文件，如进程不存在则直接使用rundll32.exe启动临时目录下的病毒文件，临时目录下的病毒文件被启动后对进程进行提权操作，判断自身进程是否为svchost.exe，如不是则退出，如是则衍生病毒DLL文件到%System32%目录下，拷贝rpcss.dll系统文件为t3rpcss.dll，将病毒DLL文件注入到EXPLORER.EXE进程中，病毒DLL查找含有大话西游标题和xy2_ex.exe进程的窗口，安装消息钩子截取游戏账号密码通过URL方式将账号信息发送到作者指定的地址中。

二、“修改者”（Trojan/Win32.StartPage.cjh[Clicker]）  威胁级别：★★★★
   该恶意代码文件为恶意广告类木马，病毒运行后创建注册表项，弹出消息框（检测到您的系统设置与播放器有冲突！请点击桌面高清电影开始激情体验）的提示，调用iexplore.exe弹出一个广告链接网址，遍历C:\Documents and Settings\a\「开始」菜单\程序目录下是否存在*.url、*.lnk文件，如有则删除，创建一个Internet Explorer快捷方式到该目录下修改目标位置为："C:\Program Files\Internet Explorer\IEXPLORE.EXE" http://www.74***.com/?zzp使其打开时弹出指定的广告网址，创建多个*.url、*.lnk文件快捷方式到桌面，添加多个广告网址到IE浏览器的收藏夹内，修改注册表隐藏桌面上的Internet Explorer浏览器的右键菜单项，修改360安全浏览器的配置文件改为病毒指定的广告网址，试图创建修改%Documents and Settings%\a\Application Data\文件夹内的火狐浏览器、TT浏览器的配置文件的主页改为病毒指定的广告地址，创建多个.ico文件图标到%System32%目录下来设置病毒在桌面创建的.lnk文件的图标，修改注册表项创建3个.lnk文件到桌面使其无法正常删除。



安天反病毒工程师建议
        1.最好安装安天防线防范日益增多的病毒。用户在安装反病毒软件之后，应将病毒监控功能打开、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
        2.安天反病毒应急中心及时进行了病毒库更新；如未安装安天防线，可以登录http://www.antiyfx.com免费下载最新版安天防线来防止病毒入侵。
        ======================================================================================================



中国安天实验室
通讯地址：哈尔滨898邮政信箱
邮政编码：150006
Welcome to visit Antiy Labs
中文站 ：http://www.antiy.com
English：http://www.antiy.net