主题 : 6月29日病毒预报--剑侠世界盗号木马Trojan-PSW.Win32.OnLineGames.aglq
喝水都长膘
级别: 正式版主

显示用户信息
0  发表于: 2008-06-28 22:17

6月29日病毒预报--剑侠世界盗号木马Trojan-PSW.Win32.OnLineGames.aglq

病毒名称
Trojan-PSW.Win32.OnLineGames.aglq
捕获时间
2008-06-28
病毒摘要
    该样本是使用Delphi编写的EXE程序,由微点主动防御软件自动捕获,采用unpack方式加壳,长度为16,302字节,图标为

,病毒扩展名为exe。病毒主要用于盗取“剑侠世界”帐号
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页,网络传播
安全提示
  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1);

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现" Trojan-PSW.Win32.OnLineGames.aglq”,请直接选择删除(如图2)。

    对于未使用微点主动防御软件的用户,微点反病毒专家建议
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放,具体操作步骤:开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
4、开启windows自动更新,及时打好漏洞补丁。

病毒分析
病毒主程序

创建文件:
%SystemBoot%\system32\sdjsakaq.sys用来存储盗来帐号信息
%SystemBoot%\system32\akjsckaq.dll用来盗取游戏帐号
把自身拷贝到%SystemBoot%\system32\mkjsakaq.exe
创建注册表,实现开机加载动态库
项:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks
键:{3A908760-8000-4000-A000-9000322145A3}
值:akjsckaq.dll
项:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3A908760-8000-4000-A000-9000322145A3}
值:akjsckaq.dll
创建注册表,实现开机全局注入DLL文件
用API函数SetWindowsHookExA实现DLL文件全局注入
akjsckaq.dll(DLL文件)行为:
当自身注入到Explorer.exe进程中:
循环查找进程 game.exe(剑侠世界)
如果进程存在,使用函数SetWindowsHookExA把自身注入到game.exe进程中
当自身注入到game.exe进程中:
读取游戏内存,盗取游戏帐号密码
把得到的信息存放在:sdjsakaq.sys中
通过邮件发给盗号者











家里补差的
级别: 管理员

显示用户信息
1  发表于: 2008-11-14 20:03

谢谢楼主整理采集
级别: 禁止发言
显示用户信息
2  发表于: 2010-02-06 17:31

用户被禁言,该主题自动屏蔽!