病毒名称(中文):
网游盗号木马165969
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
165969
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该木马是针对网络游戏《魔域》和“浩方”对战平台的盗号木马。病毒运送行后会衍生病毒文件至系统目录下，并创建服务以达到自启动的目的，然后注入游戏进程窃取帐号密码。
1.生成文件:
%Windir%\TIMHost.exe
%Windir%\system32\SVKP.sys
%Windir%\system32\TIMHost.dll
2.添加注册表,生成启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
TIMHost="%Windir%\TIMHost.exe"
3.创建服务:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
Type=dword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
Start=dword:00000002
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
ErrorControl=dword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
ImagePath=hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,53,56,4b,50,2e,73,79,73,00,
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
DisplayName="SVKP"
4.病毒运行后会把DLL文件加载到非系统进程当中.
5.病毒利用读取内存的方式盗取用户的账号信息,并通过网页提交的方式把相关信息发送到以下的网址:
http://www.x*****520.com/zhanggui3/lin1.asp
