病毒盜用notepad.exe圖示，騙取用戶運行。該病毒運行後，在%windir%\inf下釋放病毒檔案rundll32.exe，在%system32%下釋放病毒檔案hxdll.dll，添加註冊表啟動項，以達到隨機啟動的目的。記錄即時通訊工具的密碼，如OICQ，及遊戲密碼等，以郵件的形式傳送給病毒作者。該病毒對用戶有一定危害。
基本介紹
- 中文名：Trojan-PSW.Win32.Lineage.ke
- 危害等級： 中
- 病毒類型：木馬
- 公開範圍：完全公開
基本信息,行為分析,清除方案,
基本信息
病毒名稱： Trojan-PSW.Win32。Lineage。ke
檔案 MD5： 75fa7e2041268117e788f6ff2adbdd37
檔案長度： 48,128 位元組
感染系統： windows98以上版本
開發工具： Borland Delphi 6.0 - 7.0
加殼類型： 無
命名對照： Symentec[Infostealer.Lemir.Gen]
Mcafee[PWS-Lineaqe]
行為分析
1、病毒運行後，在系統盤中創建病毒檔案：
%windir%\inf\rundll32.exe
%system32%\hxdll.dll
2、添加註冊表啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
鍵值：字串："loadhx" = "C:\WINDOWS\inf\rundll32.exe"
3、竊取用戶密碼，傳送給病毒作者。
註：%windir%是一個可變路徑。Windows95/98/me/XP中默認的安裝路徑是C:\Windows，Windows2000/NT中默認的安裝路徑是C:\Winnt。
% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%windir%\inf\rundll32.exe
%system32%\hxdll.dll
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
鍵值：字串："loadhx" = "C:\WINDOWS\inf\rundll32.exe"
