病毒名称:
Win32.PswTroj.Lineage.y
类别： 木马病毒
病毒资料：
这是一个注入EXPlorer.exe进程的天堂盗号木马
1:拷贝文件
病毒运行后,会把自己拷贝到％system％目录下,并命名为Kerne0813.exe,
之后加上系统,只读,存档,隐藏4个文件属性.
并在同一目录下释放一个文件名为Microsoftie0813.dll的文件,该文件也是个病毒
病毒名为Win32.PswTroj.Lineage.y.111104
病毒就会删除自己.
2:更改注册表
病毒会在注册表中添加一项,使自己能随Windows启动
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Kerne0813 -> "C:\WINDOWS\system32\Kerne0813.exe"
3:注入进程
程序会寻找当前目录下是否有microsoftie0813.dll文件,若有的话,则把该DLL注入到explorer.exe进程空间中运行,
若文件不存在,则重新释放一个,再把它注入到进程中运行.
4:盗取并发送信息
病毒会寻找网络游戏"天堂"的游戏窗口,并从内存中读取游戏的数据,包括游戏的帐号,密码,当前玩家人物的地点,
身上的物品,金钱等,并把这些信息通过邮件后发送到木马种植者的邮箱中,使用户的游戏帐号丢失.
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2006-9-12
|
