请输入您要查询的百科知识:

 

词条 Win32.Troj.Wow.a
释义

【病毒别名】:Trojan-Spy.Win32.Agent.ed[AVP]

【处理时间】:2005-05-22

【威胁级别】:★★

【中文名称】:魔兽世界木马

【病毒类型】:木马

【影响系统】:Win9x / WinNT

【病毒行为】:

该病毒,偷取魔兽世界网络游戏帐号密码,并发送给木马种植者。木马运行后,将自己改名为与系统程序接近的文件名:ctfmonn.exe(正常文件为ctfmon.exe),以迷惑用户。并且,木马会反复设置启动项,以防止用户将其从启动项中移除。

1、该木马生成以下文件

%System%\\ctfmonn.exe(木马本身,92672字节)

%System%\\pluswow.dll(163840字节)

%System%\tsoi.dll(24576字节)

%System% 表示系统目录(如:C:\\Windows\\System32)

2、在注册表

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce

添加

"plus" = "%System%\\ctfmonn.exe"

病毒会每两秒设置该键一次,以防止用户修改

3、尝试在D、E、F盘下生成以下两个文件

AutoRun.inf

kernel.exe

使得用户双击盘符时,运行木马

4、使用以下字符作为互斥量,以保证只有一个进程运行

"rrrrrrrrrrrrwowyeah"

5、查找以下窗口和类

魔兽世界

GxWindowClassD3d

WSWINDOW

6、获取键盘等信息,保存在一个名为

"gbd"

的配置文件中

7、配置文件内容包括

区服:一区、二区、三区

键盘信息:如[End] [Del]……

8、木马会将配置文件发往以下IP地址中:

202.101.35.253

随便看

 

百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。

 

Copyright © 2004-2023 Cnenc.net All Rights Reserved
更新时间:2025/3/22 19:06:40