盗号木马Trojan-PSW.Win32.OnLineGames分析
核心提示：
保护您的计算机 打造洁净网络 中国反病毒小组给您安全的保障
病毒分析
1.木马程序运行后遍历查找游戏进程gameclient.exe，如果找到就结束游戏进程，创建配置文件。
2.释放动态链接库tlmhzx1104.dll，并调用rundll32.exe加载tlmhzx1104.dll，创建注册表项。
3.在tlmhzx1104.dll中，创建线程，遍历查找进程gameclient.exe，没有找到就结束线程退出，如果找到就继续查找进程patcher.exe，读取并解密配置文件；创建线程，设置消息钩子，窃取用户密码；创建线程，查找窗口名称为“梦幻诛仙”的窗口；创建线程，获取保密卡截图，连接网络。
4.退出进程，删除自身。
病毒创建文件：
%ProgramFiles%\tlmhzx.dat
%ProgramFiles%\tlmhzx2.dat
%ProgramFiles%\tlmhzx1104.dll
病毒创建注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Userinit %SystemRoot%\\system32\\userinit.exe,rundll32.exe %ProgramFiles%\\mhzx\\tlmhzx1104.dll Start
病毒访问网络:
grvipzx.****.org
中国反病毒小组
1.木马程序运行后遍历查找游戏进程gameclient.exe，如果找到就结束游戏进程，创建配置文件。
2.释放动态链接库tlmhzx1104.dll，并调用rundll32.exe加载tlmhzx1104.dll，创建注册表项。
3.在tlmhzx1104.dll中，创建线程，遍历查找进程gameclient.exe，没有找到就结束线程退出，如果找到就继续查找进程patcher.exe，读取并解密配置文件；创建线程，设置消息钩子，窃取用户密码；创建线程，查找窗口名称为“梦幻诛仙”的窗口；创建线程，获取保密卡截图，连接网络。
4.退出进程，删除自身。
病毒创建文件：
%ProgramFiles%\tlmhzx.dat
%ProgramFiles%\tlmhzx2.dat
%ProgramFiles%\tlmhzx1104.dll
病毒创建注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Userinit %SystemRoot%\\system32\\userinit.exe,rundll32.exe %ProgramFiles%\\mhzx\\tlmhzx1104.dll Start
病毒访问网络:
grvipzx.****.org
此文章对你有帮助吗?如果未能解决你的困扰,请访问我们的论坛发帖求助吧,我要求助!
分享按钮
Copyright 2007-2011 AntiVirus.com, ALL Rights Reserved.
保护您的计算机 打造洁净网络 中国反病毒小组给您安全的保障
豫ICP备11016355号-1
