Win32.Troj.OnLineGames.he.53248

这是一个盗号木马,盗取系统上的网络游戏《魔域》的帐号信息并发送到木马种植者指定的接收地址.该盗号木马是通过创建注册表启动项达到开机自启动的.可以关闭"卡巴斯基"和"瑞星"相关的提示窗口.

创建线程查找"AVP.AlertDialog",如查找到则模拟鼠标左键点击操作.查找"AVP.Product_Notification",如查找到则向窗口发送关闭消息.
查找"瑞星注册表监控提示",如查找到则向窗口发送关闭消息.

通过枚举进程,获取 explorer.exe 的PID后,把病毒文件 Genprotect.dll 注入 explorer.exe 进程.

病毒通过读取网络游戏《魔域》内存方式,盗取该游戏的帐号信息并发送到木马程植者指定的接收地址.

运行后释放以下文件:
%systemroot%\jinlwx.exe(病毒复本)
%systemroot%\system32\Genprotect.dll

创建注册表启动项:
Key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Value: "GenProtect"
Data: "%systemroot%\jinlwx.exe"

接收地址:
hxxp://www.xia***9**.com/my***/shou1.asp?a=xx&s=xx&u=xx&p=xx&sp=xx&r=xx&l=xx&st=xx&m=xx&i=xx&c=xx