对“ptsshell.exe”病毒文件的分析

报告名称：对“ptsshell.exe”病毒文件的分析
报告类型：病毒分析播报

分析ptsshell.exe文件：
trojan/psw.onlinegames变种
编译器：可能是汇编编写或vc++6.0编写，不确定。
加壳：upack0.2x->dwing*
脱壳后程序入口点为：0000fd1d
脱壳前文件大小：16,794字节
脱壳后文件大小：95,744字节

自我复制：
c:\windows\ptsshell.exe
释放：
c:\windows\system32\ptsshell.dll
注册表启动：
key_all_access
software\microsoft\windows\currentversion\run
c:\windows\ptsshell.exe
会把释放出来的dll插入到系统“explorer.exe”进程中加载运行：
explorer.exe
-----------------------------------------------------------------------------------
分析ptsshell.dll文件：
trojan/psw.onlinegames变种
编译器：microsoftvisualc++6.0dll。
未加壳。
文件大小：27,648字节。

文件信息：
.\qqlogin.exe
updateonline.exe
qqhxgame.exe
盗取“qq华夏”网络游戏帐号、密码等信息：
qqhxgame.exe
木马发信地址(网址在程序文件中加密存放)：
http://www.niudvd.com/kafeimao/l...s&p=%s&p2p?
http://www.niudvd.com/xinpotian/...s&s=%s&u=%s