|
病毒名称： Trojan-PSW.Win32.OnLineGames.cc
病毒类型： 木马
感染系统： windows98以上版本
开发工具： Borland Delphi 5.0
加壳类型： 无
病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件，修改注册表，添加启动项，以达到随机启动的目的，该病毒盗用户敏感信息，包括网络游戏的账号与密码等。
行为分析：
1、病毒运行后衍生病毒文件：
C:\WINDOWS\system32\dt.dll 其中dt.dll由rundll32.exe释放
C:\WINDOWS\Microsoft\rundll32.exe
C:\program files\internet explorer\use6.dll
各个分区（除C盘以外）根目录下：Autorun.inf及mplay.com
2、修改C:\\WINDOWS\system32\drivers\etc\hosts，添加如下规则：
HOSTS 文件
127.0.0.1 localhost
58.215.74.216 new3.etsoft.com.cn
58.215.74.216 www.gaodumm.com
58.215.74.216 www.88cc8.com
58.215.74.216 wg770.com
3、修改注册表，添加启动项，以达到随机启动的目的：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<Micro><C:\WINDOWS\Microsoft\rundll32.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<main><rundll32.exe "C:\program files\internet explorer\use6.dll" mymain>
4、该病毒盗用户敏感信息，包括网络游戏的账号与密码等：
病毒文件Microsoft\rundll32.exe由自启动直接运行，处于系统进程列表；病毒文件use6.dll由系统rundll32.exe调用；病毒文件dt.dll注入系统所有进程。
--------------------------------------------------------------------------------
手工清除方法:
1、关闭系统还原，结束两个进程rundll32.exe；
2、显示“受保护的操作系统文件”（如果不会，请看 www.wd1x.com/Article/pc120/Fault/200612/14165.htm）
unlocker下载：down.45it.com
使用unlocker删除以下三个文件：C:\WINDOWS\Microsoft\rundll32.exe
C:\program files\internet explorer\use6.dll
C:\WINDOWS\system32\dt.dll
3、修改注册表，删除以下两项：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<Micro><C:\WINDOWS\Microsoft\rundll32.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<main><rundll32.exe "C:\program files\internet explorer\use6.dll" mymain>
4、使用unlocker删除C:\\WINDOWS\system32\drivers\etc\hosts
5、使用资源管理器（开始-所有程序-附件-windows资源管理器）打开各个分区，删除所有分区下面的Autorun.inf及mplay.com
|
