大话西游ii盗号木马
trojan-psw.win32.onlinegames.enay
捕获时间
2011-01-07
危害等级
中
病毒症状
该样本是使用“c/c ”编写的木马程序，由微点主动防御软件自动捕获，采用"upx"加壳方式试图躲避特征码扫描,加壳后长度为“33,680”字节，图标为“”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的是盗取网游"大话西游ii"的"账号"、"密码"。
用户中毒后，会出现系统运行缓慢、网游"大话西游ii"无故关闭、网游"大话西游ii"的"账号"、"密码"被盗丢失等现象。
感染对象
windows 2000/windows xp/windows 2003/windows vista/ windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“可疑程序”，请直接选择删除处理（如图1）
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"trojan-psw.win32.onlinegames.enay”，请直接选择删除（如图2）。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法：
1.清空系统临时文件夹
2.删除"大话西游ii"安装目录下的ksuser.dll文件。
变量声明：
%systemdriver% 系统所在分区，通常为“c:\”
%systemroot% windodws所在目录，通常为“c:\windows”
%documents and settings% 用户文档目录，通常为“c:\documents and settings”
%temp% 临时文件夹，通常为“c:\documents and settings\当前用户名称\local settings\temp”
%programfiles% 系统程序默认安装目录，通常为：“c:\programfiles”
病毒分析
1.该样本运行后，枚举当前所有窗口，查找窗口名为"大话西游 ii"的窗口，若找到则获取其进程句柄强行关闭游戏。
2.查询以下注册表项，用以获取"大话西游 ii"游戏安装路径：
hkey_current_user\software\microsoft\windows\shellnoroam\muicache
3.若找到游戏路径，则释放动态链接库ksuser.dll到游戏安装目录下，并将文件属性设置为系统隐藏。
4.若未从注册表中发现游戏路径，则释放动态链接库7221359n03.dll(随机命名)到系统临时目录下，并将文件属性设置为系统隐藏。
5.加载动态链接库7221359n03.dll，调用其导出的函数"hookon"，设置全局钩子将动态链接库注入到当前所有进程中。
6.打开名为"patchwangyi"的互斥体对象，若存在则直接利用命令行的方式运行动态链接库7221359n03.dll的导出函数deleteself删除自身病毒文件。
7.创建进程快照查找名为"360safe.exe"、"ravmond.exe"、"avp.exe"的进程，若找到则遍历当前所有磁盘，查找名为"xy2.exe"(大话西游ii客户端)的文件，若找到则在当前目录下释放动态链接库ksuser.dll。
8.最后利用命令行的方式运行动态链接库7221359n03.dll的导出函数deleteself删除自身病毒文件。
9.动态链接库ksuser.dll伪装系统的同名动态链接库，优先被游戏加载。该动态链接库被游戏加载后，利用挂钩游戏中的关键函数，以及记录键盘消息等手段获取游戏的"账号""密码"信息，并利用"收信空间"的方式将所盗取的信息发送到黑客指定网址。
病毒创建文件：
%temp%/7221359n03.dll
大话西游ii安装目录\ksuser.dll
