·威胁级别
·病毒类型
·病毒长度
·影响系统
·病毒行为
病毒名称win32.pswtroj.onlinegame.dz.10768
威胁级别★☆☆☆☆
病毒类型偷密码的木马
病毒长度10768
影响系统winntwin2000winxp
病毒行为这是一个盗取网络游戏《征途》帐号信息的盗取木马.病毒会在系统文件夹下的system32目录释放用于盗号的病毒文件.该病毒文件注入explorer.exe进程.病毒会不断重写自身的注册表启动项.
运行后释放的病毒文件:
%systemroot%\system32\ztfree0.dll
病毒文件ztfree0.dll注入explorer.exe进程.
病毒不断重写注册表启动项,以防自身的启动项被删除,防止病毒在重启后不运行.
判断病毒文件是否注入到zhengtu.dat进程.如是,则开始进行盗号操作.(通过读取zhengtu.dat进程的内存盗取帐号信息)
病毒创建注册表:
hkey_classes_root\clsid\
hkey_classes_root\clsid\ztdllmodulename"%systemroot%\system32\ztfree0.dll"
hkey_classes_root\clsid\ztsobjeventname"pasderqrsaeeazt_0"
hkey_classes_root\clsid\
hkey_classes_root\clsid\\inprocserver32@"%systemroot%\system32\ztfree0.dll"
病毒通过注册表创建自启动:
hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks"ztishook"
成功盗取网络游戏《征途》的帐号信息后,将盗取所得的信息发送到以下地址:
hxxp://www.we***.org/o***nd/zt/lin.asp?srv=?&id=?&p=?&s=?&ss=?&js=?&gj=?&dj=?&yz=?(锭)?(两)?(文)&pc=[用户的计算机名]