h24arj123 2008-7-16 14:00
警惕木马Trojan-PSW.Win32.OnLineGames.aprb
[align=center][align=center][b][font=宋体][size=15pt]警惕木马[/size][/font][/b][b][size=15pt]Trojan-PSW.Win32.OnLineGames.aprb[/size][/b][/align][/align]Trojan-PSW.Win32.OnLineGames.aprb[font=宋体]病毒为盗窃网络游戏[/font]“[font=宋体]彩虹岛[/font]”[font=宋体]账号的木马。病毒运行后，复制自身、衍生含有隐藏属性的病毒文件[/font]bndfxdh.cfg[font=宋体]、[/font]bndfxdh.dll[font=宋体]、[/font]ghjsw.dll[font=宋体]、[/font]zxdtye.dll[font=宋体]到[/font]%WinDir%[font=宋体]下，其中[/font]bndfxdh.dll[font=宋体]、[/font]ghjsw.dll[font=宋体]、[/font]zxdtye.dll[font=宋体]的修改时间被设置为系统初装日期。添加启动项，以达到当任意用户启动系统时运行该病毒文件。病毒试图通过全局挂钩把[/font]bndfxdh.dll[font=宋体]注入到所有进程中，通过给当前系统内执行的进程拍快照，然后遍历快照中记录的进程列表，来判断是否存在[/font]AVP.exe[font=宋体]进程，存在便修改系统时间为[/font]2003[font=宋体]年，月、日不变，以使卡巴斯基过期失效；如果发现[/font]LaTaleClient.exe[font=宋体]进程，便结束其进程，当用户再次登陆时，通过读取[/font]server.dat[font=宋体]来获得用户所在服务器相关信息，通过截获当前用户的键盘和鼠标消息以获取网络游戏[/font]“[font=宋体]彩虹岛[/font]”[font=宋体]的账号及密码，发送到病毒作者指定的[/font]URL[font=宋体]。该病毒在实现完自身代码后，便会结束自身进程，删除自身文件。[/font]
[b][font=宋体]清除方案：[/font][/b][b][/b]
[b]1.
[/b][b][font=宋体]使用安天防线[/font][/b][b]2008[/b][b][font=宋体]可彻底清除此病毒[/font][/b][b]([/b][b][font=宋体]推荐[/font][/b][b])[/b][b][font=宋体]。[/font][/b][b][/b]
[b] [/b]
2.
[font=宋体]手工清除请按照行为分析删除对应文件，恢复相关系统设置。[/font]
（1）
[font=宋体]使用[/font]ATOOL[font=宋体]卸载注入到相关进程的[/font]bndfxdh.dll;
（2）
[font=宋体]删除病毒文件；[/font]
（3）
[font=宋体]删除病毒添加的启动项。[/font]
[font=宋体]相关链接参见：[/font][url=http://www.antiy.com/security/report/20080716a.htm][color=#0000ff]http://www.antiy.com/security/report/20080716a.htm[/color][/url][size=9pt][/size]