MYSQL安装图解 PHP MYSQL MYSQL下载 iis下载 iis php IIS是什么

病毒症状

　该样本是使用“C++”编写的“盗号木马”，采用“UPX”加壳方式试图躲避特征码扫描,加壳后长度为20,480字节，使用“ exe”扩展名，通过网页木马、下载器下载的方式进行传播，病毒主要盗取诛仙的“帐号”和“密码”。

用户中毒后，会出现游戏无故退出，系统以及网络运行缓慢等症状。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista

传播途径

网页挂马、文件捆绑、下载器下载




病毒分析

1.木马程序运行后遍历查找游戏进程gameclient.exe，如果找到就结束游戏进程，创建配置文件。

2.释放动态链接库tlmhzx1104.dll，并调用rundll32.exe加载tlmhzx1104.dll，创建注册表项。

3.在tlmhzx1104.dll中，创建线程，遍历查找进程gameclient.exe，没有找到就结束线程退出，如果找到就继续查找进程patcher.exe，读取并解密配置文件；创建线程，设置消息钩子，窃取用户密码；创建线程，查找窗口名称为“梦幻诛仙”的窗口；创建线程，获取保密卡截图，连接网络。

4.退出进程，删除自身。

病毒创建文件：

%ProgramFiles%\tlmhzx.dat
%ProgramFiles%\tlmhzx2.dat
%ProgramFiles%\tlmhzx1104.dll

病毒创建注册表：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

Userinit %SystemRoot%\\system32\\userinit.exe,rundll32.exe %ProgramFiles%\\mhzx\\tlmhzx1104.dll Start

病毒访问网络:

grvipzx.****.org






手动解决办法：

1、手动删除以下文件：

%ProgramFiles%\tlmhzx.dat
%ProgramFiles%\tlmhzx2.dat
%ProgramFiles%\tlmhzx1104.dll

2、手动删除以下注册表键：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Userinit %SystemRoot%\\system32\\userinit.exe,rundll32.exe %ProgramFiles%\\mhzx\\tlmhzx1104.dll Start