病毒名称:
Trojan.PSW.CNLineage.b
类别： 木马病毒
病毒资料：
破坏方法：
这是一个偷天堂游戏密码的木马。采用Delphi编写。
运行后将自己拷贝到Windows目录下，文件名为Services.exe。再拷贝一份到系统目录下，文件名为WinSocket.dll。
然后添加如下注册表项：
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
hellfire : ％WINDIR％\Services.exe
HKLM\Software\Microsoft\Windows\CurrentVersion
\RunServices
hellfire : ％WINDIR％\Services.exe
这样，每次开机病毒都能启动。在98下还会注册成服务，增加隐蔽性。
病毒注册并创建类型为"THellFire"的窗体，然后在后台运行，每隔一秒遍历所有进程和窗体，结束下列进程：RavMon.exe，天网防火墙个人版，天网防火墙企业版，木马克星，噬菌体，ZoneAlarm.
这些都是在国内使用比较广泛的杀毒软件和防火墙。用户可能发现一些杀毒软件总也启动不了的现象，原因在此。
病毒试图查找天堂游戏窗体。找到以后挂钩子进入天堂游戏的进程空间。然后直接读取相关动态库特定偏移地址，从而将游戏内中特定信息读出。可见病毒作者深入研究过天堂游戏的可执行文件，对一些重要信息在内存地存放位置很了解。
然后病毒将读出的信息通过电子邮件发送出去，使用自己的邮件引擎。邮件内容包括被感染机器的IP地址，机器名以及有关天堂游戏的信息。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2005-1-5
|
