Trojan/Win32.OnLineGames.uvsl[GameThief]

該惡意代碼為誅仙遊戲盜號木馬。此木馬運行後，在截取到遊戲賬號及密碼後，讀取fonts下的病毒配置檔案gth79338.fon，通過URL方式傳送到指定的地址中。

基本介紹

• 中文名：誅仙遊戲盜號木馬
• 外文名：Trojan/Win32.OnLineGames.uvslGameThief
• 危害等級：4
• 大小：16160kb
• 病毒類型：木馬
• 感染系統：Windows98以上版本

病毒標籤

病毒名稱： Trojan/Win32.OnLineGames.uvsl[GameThief]

病毒類型： 木馬

檔案 MD5： 144D46D31AAAA265BBB9F4E39B8A192E

公開範圍： 完全公開

危害等級： 4

檔案長度： 16,160 位元組

感染系統： Windows98以上版本

開發工具： Microsoft Visual C++ 6.0

加殼類型： UPX 0.89.6 - 1.02 / 1.05 - 1.24

病毒描述

病毒運行後，判斷%Windir%\fonts目錄下是否有後綴名為"dll"與"nls"格式的檔案，找到後將其重命名為BAK檔案,拷貝"sfc_os.dll"（系統檔案保護檔案）到%System32%目錄下重命名為"mmsfc.dll"，調用函式載入拷貝後的系統DLL檔案，調用該DLL模組#5序號的函式，去掉對"ComRes.dll"的檔案保護，將system32\ComRes.dll備份為sysgth.dll，並衍生ComRes.dll替換該檔案，釋放病毒動態程式庫檔案gth79338.ttf到%Windir%\fonts目錄下，遍歷進程查找elementclient.exe進程，找到則將其強行結束，拷貝%system32%\rundll32.exe為%system32%\gth79338.exe，使用改名後的rundll32.exe檔案創建進程載入病毒動態程式庫檔案，試圖將其注入到所有進程中，讀取遊戲記憶體地址截取用戶賬號密碼，通過URL方式傳送到指定地址中。

本地行為

1、檔案運行後會釋放以下檔案

%System32%\gth79338.exe

%Windir%\Fonts\ComRes.dll

%Windir%\Fonts\gth79338.ttf

%Windir%\Fonts\gth79338.fon

2、判斷%Windir%\fonts目錄下是否有後綴名為"dll"與"nls"格式的檔案，找到後將其重命名為BAK檔案，調用函式載入拷貝後的系統DLL檔案，調用該DLL模組#5序號的函式，去掉對"ComRes.dll"的檔案保護。

3、遍歷進程查找elementclient.exe進程，找到則將其強行結束，拷貝%system32%\rundll32.exe為%system32%\gth79338.exe，使用改名後的rundll32.exe檔案創建進程載入病毒動態程式庫檔案，試圖將其注入到所有進程中。

網路行為

註：%System32%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 當前用戶TEMP快取變數

%Windir%\ WINDODWS所在目錄

%DriveLetter%\ 邏輯驅動器根目錄

%ProgramFiles%\ 系統程式默認安裝目錄

%HomeDrive% = C:\ 當前啟動的系統的所在分區

%Documents and Settings%\ 當前用戶文檔根目錄

清除方案

1、使用安天防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用atool管理工具，查找被注入的病毒進程中的病毒模組名：ComRes.dll、gth79338.ttf找到後將其模組強行卸載。

(2) 使用%SystemRoot%\system32\sysgth.dll覆蓋%SystemRoot%\system32\ComRes.dll

(3) 強行刪除以下病毒檔案

%System32%\gth79338.exe

%Windir%\Fonts\ComRes.dll

%Windir%\Fonts\gth79338.ttf

%Windir%\Fonts\gth79338.fon