微点交流论坛 - 病毒快报 - 盗号木马 Trojan-PSW.Win32.OnLineGames.uge

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 病毒快报 » 盗号木马 Trojan-PSW.Win32.OnLineGames.uge

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#1 盗号木马 Trojan-PSW.Win32.OnLineGames.uge

病毒名称

Trojan-PSW.Win32.OnLineGames.uge

捕获时间

2007-10-29

病毒症状

   该病毒是一个使用delphi编写的木马程序，长度为12,956字节，图标为windows默认可执行文件图标，病毒扩展名为exe，传播途径主要为网页挂马、文件捆绑。

病毒分析

   该木马程序激活后，在%systemroot%\system32目录下生成avwlamn.dll和avwlast.exe文件；修改注册表explorer的ShellExecuteHooks及CLSID下的InprocServer32项将avwlamn.dll注入到explorer.exe进程及其子进程中；修改注册表禁止系统自动更新、添加防火墙规则以便可以在向外发送数据时不被阻拦；利用windows API函数监视用户的鼠标键盘操作；遍历系统进程查找并结束elementclient.exe（完美世界和武林外传等游戏）进程，待玩家重新进入游戏时伺机窃取玩家的游戏帐号和密码；将盗取的账号密码加密后以邮件的形式通过SMTP或网页收信空间发送给黑客。

病毒修改的注册表项：

项：HKCR\CLSID\{1960356A-458E-DE24-BD50-268F589A56A1}\InprocServer32
键值：(Default)
指向文件：C:\WINDOWS\system32\avwlamn.dll

项：HKLM \ Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks
键值：{1960356A-458E-DE24-BD50-268F589A56A1}
数值数据：avwlamn.dll

项：HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
键值：EnableFirewall
数值数据：0

项：HKLM\ SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
键值：NoAutoUpdate
数值数据：1

感染对象

Windows 98/Windows Me/Windows 2000/Windows XP/Windows 2003

传播途径

网页挂马，文件捆绑

安全提示

   已安装微点主动防御软件的用户，无论您是否已经升级到最新版本，微点主动防御都能够有效防御该木马程序。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您“发现未知木马”，请直接选择删除处理（如图1）；

图1
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现“Trojan-PSW.Win32.OnLineGames.uge”，请直接选择删除（如图2）。

                           图2

   使用其它杀毒软件的用户，请尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。

   没有安装微点主动防御软件的用户，建议您尽快安装使用微点主动防御软件有效清除各类未知病毒和新病毒。

[ Last edited by pioneer on 2007-11-2 at 18:13 ]

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2007-10-30 17:17

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号