taong

病毒名称(中文):问道木马213001
病毒别名:
威胁级别:★☆☆☆☆
病毒类型:偷密码的木马
病毒长度:213001
影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003
病毒行为:

这是一个针对网络游戏《问道》的盗号木马。该木马首先会遍历进程列表查找是否有卡巴斯基的进程，如果找到则修改系统时间为2003年，导致卡巴斯基失效。然后，该木马会注入桌面进程explorer.exe中，并展开全局监视，如果发现游戏主程序便注入其中，盗取用户的帐号信息。

1.查找avp.exe找到则修改系统时间为2003年

2.创建线程，查找如下窗口并关闭
#32770
AVP.AlertDialog
AVP.Product_Notification
AVP.TraffocMonconnectionTerm

3.将自身复制到C:\\WINDOWS\\system32\\kawdcaz.exe，更改属性为系统隐藏
4.添加注册表项实现开机自启动
HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kawdcaz @= %systemRoot%\system32\kawdcaz.exe

6.运行kawdca.exe，读取资源释放文件C:\\WINDOWS\\system32\\kawdcaz.bat
7.将kawdcaz.bat注入explorer.exe中，并设置全局钩子。如果检测到游戏程序则注入其主程序中，读取游戏内存盗取其帐号等信息

孤獨的狼

游戏木马，偶不怕。。。
我的机子没有装什么网络游戏。。
让他来偷吧
嘻嘻

Sk.

又是盗号,真无聊.