捕獲時間
2009-2-2
病毒摘要
該樣本是使用“Delphi”編寫的盜號程序，由微點主動防御軟件自動捕獲，采用“Upack 2.4 - 2.9 beta -> Dwing”加殼方式試圖躲避特征碼掃描,加殼后長度為27,211 字節，圖標為“
”，病毒擴展名為exe，主要通過”網頁木馬”、”文件捆綁”的方式傳播，病毒主要盜取網絡游戲的帳號和密碼。
感染對象
Windows 2000/Windows XP/Windows 2003
傳播途徑
網頁木馬、文件捆綁
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜軟件”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Trojan-PSW.Win32.Gamec.ez”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
對于未使用微點主動防御軟件的用戶，微點反病毒專家建議：
1、不要在不明站點下載非官方版本的軟件進行安裝，避免病毒通過捆綁的方式進入您的系統。
2、盡快將您的殺毒軟件特征庫升級到最新版本進行查殺，并開啟防火墻攔截網絡異常訪問，如依然有異常情況請注意及時與專業的安全軟件廠商聯系獲取技術支持。
3、開啟windows自動更新，及時打好漏洞補丁。
病毒分析
該樣本執行后,首先判斷自身名稱是否為“rundll32.exe”，如果不是則拷貝自身到%SystemRoot%\help\下并命名為“rundll32.exe”，寫入如下注冊表鍵值，并運行拷貝之后的“rundll32.exe”，然后刪除自身。
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\
CurrentVersion\Windows
"load"="%SystemRoot%\help\rundll32.exe"
如果是，則釋放資源中的dll文件到%SystemRoot%\system32\目錄并命名為“dllran.dll”，并調用dll中的函數Sta_H，參數為："0 http://www.s**iv.com/luan/haomail.asp?tomail=wd12@163.com&mailbody="。查找以下窗口并發送WM_CLOSE試圖將這些窗口關閉：Class = "RavMonClass"，Title = "RavMon.exe"、Class = "Tapplication" Title = "天網防火墻個人版”、Class = "Tapplication" Title = "天網防火墻企業版”、Class = "TfLockDownMain"、Class = "ZAFrameWnd" Title = "ZoneAlarm"。遍歷進程查找如下進程并試圖關閉："EGHOST.EXE"、"MAILMON.EXE"、"KAVPFW.EXE"、"IPARMOR.EXE"、"Ravmond.EXE"、"RavMon.exe" 。
dll中的函數Sta_H執行之后，掛全局鼠標和鍵盤鉤子，讓自身能監視所有的進程，判斷當前進程是否為Game.exe，如果是，則在用戶回車或者是按鼠標左鍵的時候，以讀取當前進程的內容的形式獲取游戲的帳號和密碼，并發送到調用參數指定的郵箱中。
