提醒玩家：近日盗号木马病毒播报

2008-06-15 21:44:37  作者：  来源：互联网    文字大小：【大】【中】【小】

　　“网游盗号木马61440”（Win32.Troj.OnlineGameT.nc.61440） 威胁级别：★

　　此病毒属于一个比较老的木马家族，但它的变种一直层出不穷。此篇预警播报中的变种在技术上与以前的版本没有什么不同，但它所袭击的电脑数量却较高。毒霸反病毒工程师认为这与它借助对抗型下载器传播有一定关系。

　　病毒进入用户电脑后，在系统盘中释放出两个病毒文件，分别是%WINDOWS%目录下的fmsjhif.exe，以及%WINDOWS%system32目录下的fmsjhif.dll，前者是病毒主文件，会被写入注册表启动项，以实现自动启动。而后者是用来执行盗号工作的文件。

　　当成功运行起来，病毒就搜索《热血江湖》、《魔兽世界》和“游戏茶苑大厅”的进程，将fmsjhif.dll注入其中，读取帐号和密码信息。然后发送给病毒作者指定的地址。

　　“传奇2盗号木马65536”（Win32.PSWTroj.OnLineGames.65536） 威胁级别：★

　　这个盗号木马针对的是《传奇2》的帐号和密码。它可以利用捆绑文件和下载器帮助的方式传播，当进入用户系统后，就会释放出病毒文件。

　　释放出病毒文件kcomx32.dll和kcomx32.exe，其中kcomx32.exe是病毒主文件，它的相关数据会被写入系统注册表，帮助病毒实现开机自启动。而kcomx32.dll则会被用来执行盗号工作。

　　当病毒运行起来后，它就会搜索游戏的进程，然后注入其中，通过读取游戏进程内存的方式来获得帐号和密码，然后用网页提交的方式将它们发送到http://www.*******.cn/xintiancq/post.asp这个由病毒作者指定的远程地址。给用户造成虚拟财产的损失。

　　“网游盗号木马90412”（Win32.Troj.PatchMainT.ty.90412） 威胁级别：★

　　这个病毒是一个网游盗号木马的变种，病毒作者对它进行了指令加花，试图感染病毒分析人员的工作。不过毒霸依然可以查杀它。

　　该病毒进入用户电脑后，释放出两个病毒文件，分别为%WINDOWS%目录下的issms32.exe和%WINDOWS%system32目录下的issms32.dll，其中前者是病毒主文件，它会被写入系统注册表，令病毒实现开机自启动。而那个DLL文件则用于执行盗号工作。

　　当病毒顺利的运行起来，它就将issms32.dll 注入 系统桌面的进程explorer.exe 中，搜寻《魔兽世界》和“游戏茶苑大厅”的进程，读取其游戏内存中的数据，从而盗取帐号和密码信息，并将它们发送到病毒作者指定的远程地址。给游戏玩家造成虚拟财产的损失。

　　“网游盗号木马69713”（Win32.Troj.GameOnlineT.fx.69713） 威胁级别：★

　　这个盗号木马可同时盗取网络游戏《QQ三国》和“茶苑游戏大厅”游戏平台的帐号。

　　它进入系统后，在系统盘的%WINDOWS%目录下释放出一个.exe文件，在%WINDOWS%system32目录下释放出一个.dll文件。其中前者是病毒主文件，后者是用于执行盗号的文件。这两个文件的名称都是病毒根据中毒电脑上“c”盘的卷序列号计算得出来的，具有随机性。

　　病毒将exe文件写入注册表启动项，从而实现自己的开机自启动。然后将dll文件注入到系统桌面进程explorer.exe里，所搜是否运行得有网络游戏《QQ三国》和“茶苑游戏大厅”。

　　如发现有，则利用内存读取的方式盗取它们的帐号信息，发送至病毒作者指定的接收网址，给玩家造成虚拟财产的损失。