地下城盜號木馬
Trojan-PSW.Win32.OnlineGames.ioo
捕獲時間
2010-5-17
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的游戲盜號程序，由微點主動防御軟件自動捕獲，長度為“1,077,248”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、下載器下載等方式進行傳播。病毒主要目的是盜取用戶地下城與勇士(DNF)游戲帳戶密碼信息。
用戶中毒后會出現地下城與勇士(DNF)游戲無故退出，游戲無故彈錯，網絡連接異常，DNF帳戶密碼被盜等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
網頁木馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-PSW.Win32.OnlineGames.ioo”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除以下文件
%SystemRoot%\system32\zydxc1.dat
%SystemRoot%\system32\zydxc2.dat
%SystemRoot%\system32\zydxc3.dat
%SystemRoot%\system32\zydxc4.dat
%SystemRoot%\system32\nfnognneu.dll
%SystemRoot%\system32\mysafe.sys
2.用正常的注冊表文件替換以下注冊表項
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.刪除將要釋放的病毒文件，完成后分別釋放以下病毒文件，在%temp%\temp目錄下：neiku v2.61.exe，002.exe，neiku v2.61.exe.bat，002.exe.bat，并分別運行批處理以加載運行neiku v2.61.exe，002.exe完成后刪除病毒文件。遍歷系統進程查找360tray.exe ravmond.exe kamonxp.exe與驅動交互關閉殺軟。
2.002..exe運行后在%SystemRoot%\system32目錄下釋放配置文件zydxc1.dat，zydxc2.dat，zydxc3.dat，zydxc4.dat以及nfnognneu.dll，mysafe.dat。并加載運行nfnognneu.dll。
3.遍歷本地網絡服務，查找是否已經將生成的病毒文件%SystemRoot%\system32\nfnognneu.dll為作SPI服務提供文件使用，如果沒有則加載運行nfnognneu.dll并將其安裝為網絡服務文件，使該庫文件隨系統網絡服務啟動而啟動。ydxc0508.dll被加載運行，比較自身是否在相關進程中而執行其功能。如果自身是dnfchina.exe，qqlogin.exe，dnf.exe中則關閉該進程。將%SystemRoot%\system32\mysafe.dat重命名為%SystemRoot%\system32\mysafe.sys，并恢復其PE文件頭，將其注冊表mysafe的服務。
4.設置鍵盤鉤子，用戶輸入帳戶密碼時獲取其帳戶密碼信息。查找桌面窗口截獲用戶密保卡信息保存為%SystemDriver%\mibiao.jpg,將獲取的信息發送到指定網址。
病毒創建文件：
%SystemRoot%\system32\zydxc1.dat
%SystemRoot%\system32\zydxc2.dat
%SystemRoot%\system32\zydxc3.dat
%SystemRoot%\system32\zydxc4.dat
%SystemRoot%\system32\nfnognneu.dll (文件名隨機)
%SystemRoot%\system32\mysafe.sys
