病毒名称:
Trojan.PSW.MuPass.a
类别： 木马病毒
病毒资料：
破坏方法：
偷窃“奇迹”游戏帐号密码的木马，采用VB编写，UPX加壳。使用微软系统文件MMC.exe的图标，容易迷惑用户。
首次运行将自己复制到系统目录下，文件名为services.exe，并写注册表项：
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\policies\EXPlorer\Run
1 ： ％SYSDIR％\Service.exe
这样，每次开机病毒都能启动。
然后病毒删除自身，以免引起用户怀疑。
重新开机后病毒开始运行。
创建名称为"AhaiMu"的互斥量，保证系统只有一个病毒实例在运行。
遍历进程，结束以下进程：
assistse.exe,ravmon.exe,ravtimer.exe,rfw.exe,
kvapfw.exe,kvfw.exe,kvmonxp.kxp,kvsrvxp.exe,
kvxp.kxp,kvcenter.kxp,defwatch.exe,rtvscan.exe,
ccapp.exe,ccsetmgr.exe,vptray.exe,passWordguard.exe,
eGhost.exe,iparmor.exe,pfw.exe,teregpct.exe,
dfvsnet.exe,netbargp.exe,nmain.exe,navw32.exe,
kavsvcui.exe,kav32.exe
...
这些都是在国内使用比较广泛的杀毒软件，防火墙以及上网助手，可见病毒作者应该来自国内。
每隔0.1秒查找标题为"MU"的窗体（“奇迹”游戏主窗体标题）。若找到，则开始窃取帐号密码，从而造成用户损失。
将获得的信息直接发送到外部主机，包括：
帐号，
密码，
区域，
服务器，
角色，
机器名。
由于采用HTTP协议，容易躲过防火墙的拦截。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2005-1-24
|
