大话西游盗号木马专杀
最近网上流行盗号木马,在最近接到顾客的电话中有60%关于木马的问题,可见最近木马的厉害,下面我们就以大话西游盗号木马Trojan-PSW.Win32.OL-Game.rpg为例,来讲讲怎样防盗号木马！
病毒分析：
病毒名称：Trojan-PSW.Win32.OL-Game.rpg
病毒长度：270798字节
病毒类型：木马
危害等级：★★★
影响平台：Win 9X/NT/2000
病毒特点：
该病毒是使用VC编写的盗号程序,采用FSG加壳方式试图躲避特征码扫描,加壳后长度为19,701字节,图标为,病毒扩展名为exe,主要通过网页木马、文件捆绑的方式传播,病毒主要获取网络游戏“大话西游2”的账号和密码以及其它私人信息.
该病毒程序被激活后,检测系统中是否有“avp.exe”进程存在,如果有则通过相关API函数将%systemroot%\system32\drivers\beep.sys替换,修改文件属性为隐藏、系统,通过相关函数启动“Beep”服务加载驱动,加载成功后使用API函数DeleteFileA将驱动文件“beep.sys”删除,再将%systemroot%\system32\dllcache\beep.sys拷贝到%systemroot%\system32\drivers目录下；否则在%temp%目录下释放驱动“tmp*.tmp”,修改文件的属性为隐藏、系统；调用SCM写注册表项将“tmp*.tmp”注册成名为“mhfp”的服务,通过相关函数启动被注册的服务加载驱动,加载成功后使用API函数DeleteFileA将驱动文件“tmp*.tmp”删除,使用相关API函数将服务项“dohs”删除.
在目录%temp%下释放动态库“tmp*.tmp”,修改文件属性为隐藏、系统；通过API函数LoadLibraryA将“tmp*.tmp”加载运行；动态库运行后拷贝自身到%systemroot%\system32目录下,重命名为“msosdohs**.dll”；修改如下注册表键值使进程都自动加载动态库“msosdohs**.dll”；通过相关API函数获取动态库所在模块名称,与“xy2.exe”进行比较,如果是则通过读取其内存获取网络游戏账号和密码以及其它私人信息,通过HTTP协议将木马所截获信息发送到黑客的收信空间中.
在目录%systemroot%\system32\drivers目录下释放驱动“msosmsfpfis64.sys”（驱动的作用是：钩取系统服务MDL,当由内存描述符表分配进程空间时,将msosdohs**.dll写入到每个新创建的进程空间中）,修改文件属性为隐藏、系统；调用SCM写注册表项将“msosmsfpfis64.sys”注册成名为“msfpfis64”的服务,通过相关函数启动被注册的服务加载驱动；以命令行的方式将病毒原程序删除.
查杀方法：
如果用户已安装使用金山毒霸2008杀毒软件的用户,无须任何设置,金山毒霸2008将自动保护您的系统免受该病毒的入侵和破坏.无论您是否已经升级到最新版本,金山毒霸2008都能够有效清除该病毒.如果您没有将金山毒霸2008杀毒软件升级到最新版,金山毒霸2008杀毒软件在发现该病毒后将报警提示您发现“未知间谍软件”,请直接选择删除处理；
如果您已经将金山毒霸2008杀毒软件升级到最新版本,金山毒霸2008将报警提示您发现”Trojan-PSW.Win32.OL-Game.rpg”,请直接选择删除.
专家预防建议:
1.建立良好的安全习惯,不打开可疑邮件和可疑网站.
2.不要随意接收聊天工具上传送的文件以及打开发过来的网站链接.
3.使用移动介质时最好使用鼠标右键打开使用,必要时先要进行扫描.
4.现在有很多利用系统漏洞传播的病毒,所以给系统打全补丁也很关键.
5.安装专业的防毒软件升级到最新版本,并开启实时监控功能.
6.为本机管理员帐号设置较为复杂的密码,预防病毒通过密码猜测进行传播,最好是数字与字母组合的密码.
7.不要从不可靠的渠道下载软件,因为这些软件很可能是带有病毒的.
更多资讯请登陆金山毒霸官方网站查询：www.kingsoft2008.net.cn
专杀下载
