Trojan-PSW.Win32.WOW.pq病毒為木馬類，病毒運行後衍生病毒檔案到臨時資料夾 %Temp% 下，並重命名為 svchost.exe ，同時生成兩個 DLL 檔案。修改註冊表，添加啟動項，以達到隨機啟動的目的。
基本介紹
- 中文名：Trojan-PSW.Win32.WOW.pq
- 病毒類型：木馬
- 開發工具：Microsoft Visual C++ 6.0
- 感染系統：Win9X以上系統
- 檔案MD5：2E216D6F39D7A805B6FA02E51C967C4B
- 公開範圍：完全公開
- 危害等級：3
- 檔案長度：19,717 位元組
- 加殼類型：WinUpack 0.39
- 命名對照：驅逐艦[Trojan.PWS.Wow]AVG [Trojan. WOW.pq]
病毒描述,行為分析,清除方案,
病毒描述
該病毒可以盜取用戶網路遊戲 WOW( 魔獸世界 ) 的賬號與密碼。病毒運行後監視 wow.exe 進程，當 wow.exe 開啟後記錄鍵盤操作，把記錄的賬號與密碼傳送給病毒作者。
行為分析
1 、 病毒運行後衍生病毒檔案到臨時資料夾 %Temp% 下，並重命名為 svchost.exe ，同時生成兩個 DLL 檔案：
%Temp%\She1132.dll
%Temp%\~Tm31.tmp.dll
%Temp%\svchots.exe
2 、 修改註冊表，添加啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
鍵值 : 字串 : "Winlogin"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\svchots.exe"
3 、 該病毒可以盜取用戶網路遊戲 WOW( 魔獸世界 ) 的賬號與密碼。病毒運行後監視 wow.exe 進程，當 wow.exe 開啟後記錄鍵盤操作，把記錄的賬號與密碼傳送給病毒作者：
文本字元串參考位於 ~Tm31_tm:.text ，項目 0
地址 =1000103F
反彙編 =push ~Tm31_tm.10003068
文本字元 =ASCII "WoW.exe"
文本字元串參考位於 ~Tm31_tm:.text ，項目 1
地址 =100012B4
反彙編 =mov edi,~Tm31_tm.10003024
文本字元 =ASCII "%s?a=%s&s=%s&u=%s&p=%s&pin=%s&r=%s&l=%d&m=%d"
註： % System% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System 資料夾的位置。 Windows2000/NT 中默認的安裝路徑是 C:\Winnt\System32 ， windows95/98/me 中默認的安裝路徑是 C:\Windows\System ， windowsXP 中默認的安裝路徑是 C:\Windows\System32 。
清除方案
1 、 使用安天木馬防線可徹底清除此病毒 ( 推薦 )
2 、 手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒檔案：
%Temp%\She1132.dll
%Temp%\~Tm31.tmp.dll
%Temp%\svchots.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
鍵值:字串:"Winlogin"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\svchots.exe"
