Trojan-PSW.Win32.OnLineGames.ejgy，盗号木马。捕获时间为2009年8月10日，主要目的是盗取“完美国际”游戏的贴密码信息。

基本资料：

防范措施

病毒分析

清除步骤

基本资料：

盗号木马

Trojan-PSW.Win32.OnLineGames.ejgy

捕获时间

2009-8-10

危害等级

中

病毒症状

该样本是使用“VC”编写的“完美国际”盗号木马，由微点主动防御软件自动捕获，长度为“16,384字节”，图标为“

screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window';}" border=0>”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为盗取“完美国际”游戏的帐号密码信息。

用户中毒后，会出现登录游戏输入用户名、密码时系统运行缓慢，游戏过程中客户端无故退出等现象。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；

screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window';}" border=0>

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-PSW.Win32.OnLineGames.ejgy”，请直接选择删除（如图2）。

screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window';}" border=0>

图2 微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1、手动恢复以下文件：

拷贝相同版本程序到: %SystemRoot%\\system32\\verclsid.exe。

2、手动删除以下文件:

%SystemRoot%\\system32\\ss12AA02dll.dll

%SystemRoot%\\Fonts\\MSar12AA02exe.ttf

3、手动删除以下注册表键值:

键:HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\explorer\\ShellExecuteHooks\\

{5A041F13-A111-12B0-B0CF-F99818AA68A5}

键:HKEY_CLASSES_ROOT\\CLSID\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}

键:HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\explorer\\browserHelperObjects\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}

键:HKEY_LOCAL_MACHINE\\Software\\Microsoft\\WindowsNT\\CurrentVersion\\Windows

值:AppInit_DLLS

数据:null

变量声明：

%SystemDriver%　系统所在分区，通常为“C:\\”

%SystemRoot%　WINDODWS所在目录，通常为“C:\\Windows”

%Documents and Settings%　用户文档目录，通常为“C:\\Documents and Settings”

%Temp%　临时文件夹，通常为“C:\\Documents and Settings\\当前用户名称\\Local Settings\\Temp”

%ProgramFiles%　系统程序默认安装目录，通常为：“C:\\ProgramFiles”

病毒分析

（1）创建互斥体，防止多次运行。

（2）提升自身进程权限，遍历进程列表，查找是否有“完美国际”游戏进程，若找到，终止该进程。

（3）释放批处理文件%TEMP%\\~AR0.bat,创建线程，执行该文件，该文件主要作用是用来查找文件%SystemRoot%\\system32\\verclsid.exe 是否存在，如果存在，便将其删除。

（4）释放文件%SystemRoot%\\system32\\ss12AA02dll.dll,设置文件属性为隐藏，并载入, 删除%TEMP%\\~AR0.bat。

（5）通过修改注册表键值、安装钩子，将病毒注入到游戏进程，监控游戏客户端帐号密码信息，将其发送到黑客指定地址。

（6）将病毒自身重命名,复制到%SystemRoot%\\Fonts\\MSar12AA02exe.ttf,通过修改注册表，达到自动运行病毒的目的。

（7）创建文件%TEMP%\\~AR0.bat，并执行，删除病毒自身和~AR0.bat。

病毒创建文件：

%TEMP%\\~AR0.bat

%SystemRoot%\\system32\\ss12AA02dll.dll

%SystemRoot%\\Fonts\\MSar12AA02exe.ttf

病毒删除文件：

%SystemRoot%\\system32\\verclsid.exe

%TEMP%\\~AR0.bat

病毒创建注册表:

键：HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\explorer\\ShellExecuteHooks\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}

键：HKEY_CLASSES_ROOT\\CLSID\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}

键：HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\explorer\\browserHelperObjects\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}

键：HKEY_LOCAL_MACHINE\\Software\\Microsoft\\WindowsNT\\CurrentVersion\\Windows

值:AppInit_DLLS

数据:ss12AA02dll.dll

清除步骤

Trojan.PSW专杀工具 简介杀毒步骤:

用瑞星专杀工具

1.以Administrator身份登陆

2.下载瑞星Trojan.PSW专杀工具

3.断开网络

4.打开浏览器,工具-Internet选项-删除文件-选中"删除所有脱机内容"

5.运行-MSCONFIG,查看启动加载项里可疑启动项删除掉

6.重启机器,按F8进入安全模式

7.使用专杀工具全面杀毒