Trojan.PSW.MuPass.a

2008-02-23 08:40:10来源：互联网阅读 ()

病毒名称: Trojan.PSW.MuPass.a 类别：木马病毒病毒资料：破坏方法：

偷窃“奇迹”游戏帐号密码的木马，采用VB编写，UPX加壳。使用微软系统文件MMC.exe的图标，容易迷惑用户。

首次运行将自己复制到系统目录下，文件名为services.exe，并写注册表项：

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\policies\EXPlorer\Run

1 ：％SYSDIR％\Service.exe
这样，每次开机病毒都能启动。
然后病毒删除自身，以免引起用户怀疑。
重新开机后病毒开始运行。
创建名称为"AhaiMu"的互斥量，保证系统只有一个病毒实例在运行。
遍历进程，结束以下进程：

assistse.exe,ravmon.exe,ravtimer.exe,rfw.exe,
kvapfw.exe,kvfw.exe,kvmonxp.kxp,kvsrvxp.exe,
kvxp.kxp,kvcenter.kxp,defwatch.exe,rtvscan.exe,
ccapp.exe,ccsetmgr.exe,vptray.exe,passWordguard.exe,
eGhost.exe,iparmor.exe,pfw.exe,teregpct.exe,
dfvsnet.exe,netbargp.exe,nmain.exe,navw32.exe,
kavsvcui.exe,kav32.exe
...

这些都是在国内使用比较广泛的杀毒软件，防火墙以及上网助手，可见病毒作者应该来自国内。
每隔0.1秒查找标题为"MU"的窗体（“奇迹”游戏主窗体标题）。若找到，则开始窃取帐号密码，从而造成用户损失。
将获得的信息直接发送到外部主机，包括：
帐号，
密码，
区域，
服务器，
角色，
机器名。

由于采用HTTP协议，容易躲过防火墙的拦截。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。

发现日期： 2005-1-24

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有