病毒名称

威胁级别

病毒类型

病毒长度

影响系统

病毒行为

病毒名称

魔域跑跑木马53248

威胁级别

128

病毒类型

偷密码的木马

病毒长度

16896

影响系统

Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为

这是一个盗号木马程序，它将自己注入到进程explorer.exe中寻找网游《魔域》与《跑跑卡丁车》的进程，并盗窃它们的帐号密码信息。它还能自动关闭卡巴斯基的警告框，对抗卡巴斯基的监控。

1.复制文件：

%windir%\\GenProtect.exe

%system32dir%\\GenProtect.dll

2.添加到到注册表：

]HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

GenProtect "%windir%\\GenProtect.exe "

添加到系统启动项，随系统开机启动。

3.破坏方式

随系统启动后，将GenProtect.dll注入到explorer.exe进程，开启新的线程：监视卡巴斯基的警告框(AVP.AlertDialog)，如果发现有则关闭该警告框；如果在系统中找到魔域进程soul.exe或者是跑跑卡丁车的窗口(ZElementClient Window)，则注入到其中，盗取信息并通过URL发送出去。

4.相关网址：

http://www.x******9.com/myqqq/shou.asp?

http://www.d*****0.com/moyu1122/shou.asp?

盗取的信息可能通过这两个网址提交。