| 词条 | Win32.Troj.PSWMir |
| 释义 | § 概述 病毒别名：Trojan-PSW.Win32.Lmir.xm【AVP】 处理时间： 威胁级别：★★ 中文名称： 病毒类型：木马 影响系统：Win9x / WinNT § 病毒行为: 这是一个盗取传奇游戏帐号信息的木马病毒。该病毒挂钩系统的鼠标和键盘消息，截取用户的传奇游戏的帐号信息，并这些帐号信息发送到木马种植者。 1.创建互斥体kkk20041102防止多个病毒实例同时运行。 2.将自己复制为%SystemRoot%\\help\\KavSVCE.exe，释放文件%SystemRoot%\\help\\terxur_32.dll（病毒名：Win32.Troj.PSWMirDLL.59904）。 3.在注册表中添加 HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\ "shell"="Explorer.exe %SystemRoot%\\KavSVCE.exe" HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\ "load"="%SystemRoot%\\help\\KavSVCE.exe" 4.Win9X平台，修改System.ini文件或者Win.ini文件： ========================================================================== WIN.INI ========================================================================== load = %SystemRoot%\\help\\KavSVCE.exe ========================================================================== SYSTEM.INI ========================================================================== shell=Explorer.exe %SystemRoot%\\help\\KavSVCE.exe 5.加载释放的DLL文件terxur_32.dll，调用该DLL文件导出的StartHook函数。StartHook函数调用API函数SetWindowsHookEx，挂钩系统所有能够处理键盘和鼠标消息的进程，然后系统将该DLL文件注入到被挂钩的进程。钩子函数通过查找窗口类“TFrmMain”已经窗口名“传奇客户端”，截取用户的传奇游戏帐号信息，然后发送到木马种植者指定的网页。 |
| 随便看 |
百科全书收录594082条中文百科知识，基本涵盖了大多数领域的百科知识，是一部内容开放、自由的电子版百科全书。