“天龙笨贼94304”(Win32.Troj.GamesHackT.gu.94304),这是一个针对网游《天龙八部》的盗号木马。它会通过创建系统服务启动,启动后先关闭某些安全软件的进程,然后盗取游戏帐号和密码。
这是一个具备对抗安全软件功能的盗号木马,不过只能对付少数安全辅助软件,对毒霸等杀毒软件无效。
病毒进入电脑后,将病毒文件gnolnait.cfg和gnolnait.dll释放到系统盘的%WINDOWS%\system32\目录下,并在%WINDOWS%\system32\drivers\目录下释放出一个mselk.sys文件。接着,它会试图查找并关闭360安全卫士、QQ医生等安全辅助软件,不过由于病毒作者的粗心,输错了进程,这一次360得以幸免于难。
同时,病毒修改系统注册表启动项,使自己实现开机自启动,并与运行后查找并结束系统上的Game.exe 进程。虽然病毒只会盗取《天龙八部》游戏的帐号信息,可是由于许多游戏都含有以Game.exe命名的文件,因此,还是会有不少游戏被关闭的。当用户重新进入游戏时,病毒就通过监视用户在帐号和密码框中的输入,窃取到帐号信息。
此外,该病毒还有“黑吃黑”的举动,它为保证自己的运行正常,会在 %WINDOWS%\system32\目录下搜索是否存在一个名为mseion.sys 文件,如果找到就将它删除。经毒霸反病毒工程师的分析,这是另一个网页木马文件,与该病毒会有一定的冲突。 |