病毒预警：谨防“网游盗号木马16521”
| 作者： | [收藏到E起摘] |
【eNet硅谷动力消息】“网游盗号木马16521”（Win32.PSWTroj.OnlineGames.16521），这是一个针对《剑侠情缘2》、《破天一剑》、《征服》、《卓越之剑》以及“浩方对战平台”的盗号木马。木马运行后首先会查找并关闭杀毒软件卡巴斯基的报警和提示窗口。释放一个文件注入explorer.exe中，设置全局钩子，如果检测到注入的是上述游戏主程序的话，则通过读取游戏内存的方式获取用户的帐号信息，并回传到木马投放者指定的网址。
“QQ三国盗贼94312”（Win32.PSWTroj.QQSG.br.94312），这是一个盗取网络游戏“QQ三国”帐号的盗号木马变种。该病毒进入系统后会关闭360安全卫士和Gdwli32 盗号木马专杀的窗口和进程，并伺机窃取网络游戏QQ三国的用户帐号、密码、密保等信息，然后发送给木马种植者。
一、“网游盗号木马16521”（Win32.PSWTroj.OnlineGames.16521） 威胁级别：★
病毒进入系统后，在系统盘的%WINDOWS%目录下生成病毒文件NAVMon32.exE和NAVMon32.dll，并修改注册表启动项相关数据，使自己能在每次系统启动时跟着自动运行起来。
紧接着，它创建线程，循环查找杀毒软件卡巴斯基的报警和提示窗口，只要找到，便模拟用户的鼠标点击，抢先关闭该窗口，使用户无法获得卡巴发出的系统异常警告。这样，病毒就能尽可能久地呆在用户系统中。
病毒顺利运行起来后，将之前生成的dll文件注入系统桌面进程explorer.exe中，并展开全局监视。如果检测到《剑侠情缘2》、《破天一剑》、《征服》、《卓越之剑》以及“浩方对战平台”的进程，就立即注入其中，通过读取游戏住程序内存的方式获取用户的帐号信息并上传到木马投放者指定的网址http://www.niudvd.com/mingmen/lin.asp，给用户造成虚拟财产的损失。
二、“QQ三国盗贼94312”（Win32.PSWTroj.QQSG.br.94312） 威胁级别：★
病毒进入用户的电脑系统后，会在系统盘中释放出3个病毒文件，分别为%WINDOWS%目录下的gdqqsgi32.cfg和gdqqsgi32.dll，以及%WINDOWS%\drivers\目录下的msconkt.sys。然后，病毒修改注册表启动项，将自己的相关数据写入其中，实现开机自启动之目的。
为躲避用户的检查，在修改注册表时，该病毒将自己伪装成微软移动终端设备的多媒体驱动，用户注意如果检查其属性，会看到其服务名为服务名“AsyncMac”，描述和显示名称为“RAS Asynchronous Media Driver”，路径为“system32\DRIVERS\msconkt.sys”。完成该步骤后，病毒就删除自己的原始文件，使用户无法查到病毒源。
紧接着，病毒创建线程，搜索360安全卫士和Gdwli32 盗号木马专杀的进程，发现后立即将它们强行关闭。一旦清理掉安全软件，病毒就会搜索电脑中是否有《剑侠情缘II》、《传奇世界》、《惊天动地》、《魔域》、《QQ三国》等数十款网络游戏的进程。如果搜到《QQ三国》的进程，病毒就会立即注入，并监控有“请输入角色密码：”、“请输入仓库密码：”等信息的窗口，通过内存读写方式用户帐号、密码、密保等信息，然后发送至hxxp://www.n*o**0.com/sanguo/这个由木马种植者指定的网址。
根据目前所掌握的情况，此病毒只会盗取《QQ三国》的密码。但由于它也会搜索其它游戏，因此不排除病毒作者以后会对其进行升级，使其具备盗取其它游戏帐户信息的能力，因此广大用户需特别注意。
“QQ三国盗贼94312”（Win32.PSWTroj.QQSG.br.94312），这是一个盗取网络游戏“QQ三国”帐号的盗号木马变种。该病毒进入系统后会关闭360安全卫士和Gdwli32 盗号木马专杀的窗口和进程，并伺机窃取网络游戏QQ三国的用户帐号、密码、密保等信息，然后发送给木马种植者。
一、“网游盗号木马16521”（Win32.PSWTroj.OnlineGames.16521） 威胁级别：★
病毒进入系统后，在系统盘的%WINDOWS%目录下生成病毒文件NAVMon32.exE和NAVMon32.dll，并修改注册表启动项相关数据，使自己能在每次系统启动时跟着自动运行起来。
紧接着，它创建线程，循环查找杀毒软件卡巴斯基的报警和提示窗口，只要找到，便模拟用户的鼠标点击，抢先关闭该窗口，使用户无法获得卡巴发出的系统异常警告。这样，病毒就能尽可能久地呆在用户系统中。
病毒顺利运行起来后，将之前生成的dll文件注入系统桌面进程explorer.exe中，并展开全局监视。如果检测到《剑侠情缘2》、《破天一剑》、《征服》、《卓越之剑》以及“浩方对战平台”的进程，就立即注入其中，通过读取游戏住程序内存的方式获取用户的帐号信息并上传到木马投放者指定的网址http://www.niudvd.com/mingmen/lin.asp，给用户造成虚拟财产的损失。
二、“QQ三国盗贼94312”（Win32.PSWTroj.QQSG.br.94312） 威胁级别：★
病毒进入用户的电脑系统后，会在系统盘中释放出3个病毒文件，分别为%WINDOWS%目录下的gdqqsgi32.cfg和gdqqsgi32.dll，以及%WINDOWS%\drivers\目录下的msconkt.sys。然后，病毒修改注册表启动项，将自己的相关数据写入其中，实现开机自启动之目的。
为躲避用户的检查，在修改注册表时，该病毒将自己伪装成微软移动终端设备的多媒体驱动，用户注意如果检查其属性，会看到其服务名为服务名“AsyncMac”，描述和显示名称为“RAS Asynchronous Media Driver”，路径为“system32\DRIVERS\msconkt.sys”。完成该步骤后，病毒就删除自己的原始文件，使用户无法查到病毒源。
紧接着，病毒创建线程，搜索360安全卫士和Gdwli32 盗号木马专杀的进程，发现后立即将它们强行关闭。一旦清理掉安全软件，病毒就会搜索电脑中是否有《剑侠情缘II》、《传奇世界》、《惊天动地》、《魔域》、《QQ三国》等数十款网络游戏的进程。如果搜到《QQ三国》的进程，病毒就会立即注入，并监控有“请输入角色密码：”、“请输入仓库密码：”等信息的窗口，通过内存读写方式用户帐号、密码、密保等信息，然后发送至hxxp://www.n*o**0.com/sanguo/这个由木马种植者指定的网址。
根据目前所掌握的情况，此病毒只会盗取《QQ三国》的密码。但由于它也会搜索其它游戏，因此不排除病毒作者以后会对其进行升级，使其具备盗取其它游戏帐户信息的能力，因此广大用户需特别注意。
【责任编辑 毛井井】
相关文章
 |
人物访谈 |  |
产经评论 | |
