Trojan-PSW.Win32.OnLineGames.adwl

Trojan-PSW.Win32.OnLineGames.adwl分析

出处：安天病毒分析组 时间：2008-05-16 11：52

病毒标签：
病毒名称： Trojan-PSW.Win32.OnLineGames.adwl
病毒类型： 盗号木马
文件 MD5： 2EC82E5FEA8D59109962F58F64870A0A
公开范围： 完全公开
危害等级： 3
文件长度： 16,853 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： FSG 2.0 -> bart/xt

病毒描述：
　　该病毒为武林外传游戏盗号木马，病毒运行后复制自身到%Windir%目录下，重命名
为bincdwsa.exe，添加注册表项，以达到随机启动的目的，并衍生病毒DLL文件到系统
目录%system32%下；重命名为bincdwsa.dll；并将病毒文件bincdwsa.dll插入到
Explorer.exe系统进程；病毒运行之后删除自身，遍历查找武林外传游戏
ElementClient.exe进程，通过截获用户的键盘和鼠标消息获取“武林外传”的账号和
密码，并读取该进程目录下的userdata\currentserver.ini文件,获取用户所在游戏服
务器的相关信息，通过URL发送到木马种植者指定的接收网址，造成用户的虚拟财产丢失。

行为分析：
本地行为：

1、文件运行后会释放以下文件:

　　　　%Windir%\bincdwsa.exe 　　　　16,853 字节
　　　　%system32%\bincdwsa.dll 　　　26,384 字节

2、添加注册表病毒启动项：

　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
　　　　\Windows\CurrentVersion\Run]
　　　　新建键值: "bincdwsa"
　　　　类型： REG_SZ
　　　　字符串： “C:\WINDOWS\bincdwsa.exe”
　　　　描述: 添加注册表项，以达到随机启动的目的

3、将病毒文件bincdwsa.dll插入到Explorer.exe系统进程；病毒运行之后删除自身。

4、遍历查找武林外传游戏ElementClient.exe进程，通过截获用户的键盘和鼠标消息
　 获取“武林外传”的账号和密码，并读取该进程目录下userdata
　 \currentserver.ini文件,获取用户所在游戏服务器的相关信息，通过URL发送到
　 木马种植者指定的接收网址。

注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的
位置。
　　
　　　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　\当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　
　　　　　　　　

　　　　

--------------------------------------------------------------------------------
清除方案：
  1 、使用安天防线2008可彻底清除此病毒(推荐)，
　 　请到安天网站下载： www.antiy.com　
  2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 　 (1)使用ATOOL打开进程管理找到Explorer.exe进程，
　 　 　 卸载病毒bincdwsa.dll 病毒DLL文件。
　 　 (2)强行删除病毒文件：
　 　 　 %Windir%\bincdwsa.exe
　 　 　 %system32%\bincdwsa.dll
　 　 (3)删除病毒服务注册表项：
　 　 　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
　 　 　 \Windows\CurrentVersion\Run]
　 　 　 新建键值: "bincdwsa"
　 　 　 类型： REG_SZ
　 　 　 字符串： “C:\WINDOWS\bincdwsa.exe”

香港公司注册 提供 怎样注册香港公司服务