病毒名称(中文):神泣盗贼41256
病毒别名:
威胁级别:★☆☆☆☆
病毒类型:偷密码的木马
病毒长度:41256
影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003
病毒行为:
该病毒是网络游戏《神泣》的盗号木马。病毒运行后会关闭一些安全软件的进程，然后盗取游戏账号和密码等信息，并通过网页提交的方式发送到木马种植者手上。
1.生成隐藏病毒文件
%Sys32dir%\msosfasq.dat
%Sys32dir%\msosfasq00.dll
%Sys32dir%\drivers\msosmsfpfis64.sys
2.修改注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows AppInit_DLLs "" "msosfasq00.dll"
3.生成服务
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 Type dword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 Start dword:00000002
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 ErrorControl dword:00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 ImagePath hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,64,72,69,76,65,72,73,5c,6d,73,6f,73,6d,73,66,70,66,69,73,36,34,2e,73,79,73,00,
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 DisplayName "msfpfis64"
4.病毒运行后会自删除.
5.病毒运行会把DLL文件注入到Explorer.exe进程和非系统进程当中.
6.病毒还会结束KWatch.exe,KPPMAIN.EXE,360SAFE.exe等安全软件的进程.
7.病毒会利用消息钩子盗取用户的账号和密码等信息,并以网页提交的方式发送到以下的网址当中:
http://www.******.com/haina/post.asp
