h24arb 2008-7-16 14:23
转帖：警惕木马Trojan-PSW.Win32.OnLineGames.aprb
警惕木马Trojan-PSW.Win32.OnLineGames.aprb Trojan-PSW.Win32.OnLineGames.aprb病毒为盗窃网络游戏“彩虹岛”账号的木马。病毒运行后，复制自身、衍生含有隐藏属性的病毒文件bndfxdh.cfg、bndfxdh.dll、ghjsw.dll、zxdtye.dll到%WinDir%下，其中bndfxdh.dll、ghjsw.dll、zxdtye.dll的修改时间被设置为系统初装日期。添加启动项，以达到当任意用户启动系统时运行该病毒文件。病毒试图通过全局挂钩把bndfxdh.dll注入到所有进程中，通过给当前系统内执行的进程拍快照，然后遍历快照中记录的进程列表，来判断是否存在AVP.exe进程，存在便修改系统时间为2003年，月、日不变，以使卡巴斯基过期失效；如果发现LaTaleClient.exe进程，便结束其进程，当用户再次登陆时，通过读取server.dat来获得用户所在服务器相关信息，通过截获当前用户的键盘和鼠标消息以获取网络游戏“彩虹岛”的账号及密码，发送到病毒作者指定的URL。该病毒在实现完自身代码后，便会结束自身进程，删除自身文件。清除方案： 1. 使用安天防线2008可彻底清除此病毒(推荐)。 2. 手工清除请按照行为分析删除对应文件，恢复相关系统设置。（1） 使用ATOOL卸载注入到相关进程的bndfxdh.dll; （2） 删除病毒文件；（3） 删除病毒添加的启动项。相关链接参见：[url]http://www.antiy.com/security/report/20080716a.htm[/url]