| 词条 | Trojan-PSW.win32.GamePass.gd |
| 释义 | 该病毒属木马类，病毒运行后衍生病毒文件到系统目录下，修改注册表，使系统静音，添加启动项，以达到随机启动的目的。伪装系统进程。病毒释放的文件Lgsym.dll插入系统进程explorer.exe中。这是一个未知壳，未脱壳时不能在虚拟机中运行，脱壳后可以运行。 基本介绍人病毒名称： Trojan-PSW.win32.GamePass.gd 病毒类型： 木马 文件 MD5： FB05BC1DC3C1CA66E44E8B69AEADEEE5 公开范围： 完全公开 危害等级： 3 文件长度：38,289 字节 感染系统： windows98以上版本 加壳类型： 未知壳 病毒描述未脱壳运行后会生成以下文件： %WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS %WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS %WINDIR%5359-8621-2429-7641-5702\\Licence.SLS 而脱壳后运行无上术文件。说明上述文件是壳释放的文件。 该木马专门盗取网络游戏完美世界的账号与密码。衍生的文件LgSyl.dll可以监视完美世界进程ElementClient.exe并记录游戏账号与密码。 行为分析1、病毒运行后衍生病毒文件到系统目录下： %system32%\\lgsym.dll %system32%\\winsusrm.dll %WINDIR%\\iexpl0re.exe %WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS %WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS %WINDIR%5359-8621-2429-7641-5702\\Licence.SLS 2、修改注册表，添加启动项，以达到随机启动的目的： HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run 键值: 字串: "0wexiqd6lx"="C:\\winnt\\iexpl0re.exe" 3、修改注册表，使系统静音： HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\DeviceClasses \\{6994AD04-93EF-11D0-A3CC00A0C9223196}\\##?#PCI#VEN_8086&DEV_24C5&SUBSYS_4720414C&REV _02#3&13C0B0C5&0&FD#{6994ad04-93ef-11d0-a3cc-00a0c9223196}\\#Wave\\Device Parameters\\Mixer\\0\\Controls\\1 新建键值：字串："Channel0"=DWORD: 1 (0x1) 原键值：字串："Channel0"=DWORD: 0 (0) 4、伪装系统进程： 该病毒进程名为iexpl0re.exe伪装系统进程iexplore.exe。 5、病毒释放的文件Lgsym.dll插入系统进程explorer.exe中。 LgSym.dllTrojan-PSW.Win32.Nilage.gp LgSym.dll可以监视网络游戏完美世界进程ElementClient.exe，当用户启动ElementClient.exe进程后，病毒会记录输入的游戏账号与密码。 server=? & gameid=& & pass= & pin= & wupin= & role= & equ= & other= server=? & gameid=& 机器名:%20viewstatus.asp 金钱： 金 银 铜 注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。 清除方案1、使用安天木马防线可彻底清除此病毒(推荐)。 2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。 (1) 使用安天木马防线“进程管理”关闭病毒进程 iexpl0re.exe 结束进程explorer.exe后立即删除文件Lgsym.dll。 (2) 删除病毒文件 %system32%\\lgsym.dll %system32%\\winsusrm.dll %WINDIR%\\iexpl0re.exe %WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS %WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS %WINDIR%5359-8621-2429-7641-5702\\Licence.SLS (3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项 HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run 键值: 字串: "0wexiqd6lx"="C:\\winnt\\iexpl0re.exe" HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\DeviceClasses \\{6994AD04-93EF-11D0-A3CC00A0C9223196}\\##?#PCI#VEN_8086&DEV_24C5&SUBSYS_4720414C&REV_02 #3&13C0B0C5&0&FD#{6994ad04-93ef-11d0-a3cc-00a0c9223196}\\#Wave\\Device Parameters\\Mixer\\0\\Controls\\1 新建键值：字串："Channel0"=DWORD: 1 (0x1) 原键值：字串："Channel0"=DWORD: 0 (0) |
| 随便看 |
百科全书收录4421916条中文百科知识，基本涵盖了大多数领域的百科知识，是一部内容开放、自由的电子版百科全书。