简介

病毒行为

简介

病毒别名：Trojan-PSW.Win32.Lmir.xm[AVP]

处理时间：

威胁级别：★★

中文名称：

病毒类型：木马

影响系统：Win9x / WinNT

病毒行为

这是一个盗取传奇游戏帐号信息的木马病毒。该病毒挂钩系统的鼠标和键盘消息，截取用户的传奇游戏的帐号信息，并这些帐号信息发送到木马种植者。

1.创建互斥体kkk20041102防止多个病毒实例同时运行。

2.将自己复制为%SystemRoot%\\help\\KavSVCE.exe，释放文件%SystemRoot%\\help\\terxur_32.dll（病毒名：Win32.Troj.PSWMirDLL.59904）。

3.在注册表中添加

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\

"shell"="Explorer.exe %SystemRoot%\\KavSVCE.exe"

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\

"load"="%SystemRoot%\\help\\KavSVCE.exe"

4.Win9X平台，修改System.ini文件或者Win.ini文件：

==========================================================================

WIN.INI

==========================================================================

load = %SystemRoot%\\help\\KavSVCE.exe

==========================================================================

SYSTEM.INI

==========================================================================

shell=Explorer.exe %SystemRoot%\\help\\KavSVCE.exe

5.加载释放的DLL文件terxur_32.dll，调用该DLL文件导出的StartHook函数。StartHook函数调用API函数SetWindowsHookEx，挂钩系统所有能够处理键盘和鼠标消息的进程，然后系统将该DLL文件注入到被挂钩的进程。钩子函数通过查找窗口类“TFrmMain”已经窗口名“传奇客户端”，截取用户的传奇游戏帐号信息，然后发送到木马种植者指定的网页。