基本介紹
- 中文名：Win32.PSWTroj.Onlinegame.dz.10768
- 病毒類型：偷密碼的木馬
- 病毒長度：10768
- 影響系統：WinNT Win2000 WinXP
- 威脅級別：★☆☆☆☆
病毒名稱,威脅級別,病毒類型,病毒長度,影響系統,病毒行為,
病毒名稱
Win32.PSWTroj.Onlinegame.dz.10768
威脅級別
★☆☆☆☆
病毒類型
偷密碼的木馬
病毒長度
10768
影響系統
WinNT Win2000 WinXP
病毒行為
運行後釋放的病毒檔案:
%systemroot%\system32\ztfree0.dll
病毒檔案 ztfree0.dll 注入 explorer.exe 進程.
病毒不斷重寫註冊表啟動項,以防自身的啟動項被刪除,防止病毒在重啟後不運行.
判斷病毒檔案是否注入到 zhengtu.dat 進程.如是,則開始進行盜號操作.(通過讀取 zhengtu.dat 進程的記憶體盜取賬號信息)
病毒創建註冊表:
HKEY_CLASSES_ROOT\CLSID\{E952B8F8-4EDD-851C-D91A-EE1A0F944469}
HKEY_CLASSES_ROOT\CLSID\{E952B8F8-4EDD-851C-D91A-EE1A0F944469} ztDllModuleName "%systemroot%\system32\ztfree0.dll"
HKEY_CLASSES_ROOT\CLSID\{E952B8F8-4EDD-851C-D91A-EE1A0F944469} ztSobjEventName "PASDERQRSAEEAZT_0"
HKEY_CLASSES_ROOT\CLSID\{E952B8F8-D91A-4EDD-851C-EE1A0F944469}
HKEY_CLASSES_ROOT\CLSID\{E952B8F8-D91A-4EDD-851C-EE1A0F944469}\InprocServer32 @ "%systemroot%\system32\ztfree0.dll"
病毒通過註冊表創建自啟動:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks {E952B8F8-D91A-4EDD-851C-EE1A0F944469} "zt is hook"
成功盜取網路遊戲《征途》的賬號信息後,將盜取所得的信息傳送到以下地址:
hxxp://www.we***.org/o***nd/zt/lin.asp?srv=?&id=?&p=?&s=?&ss=?&js=?&gj=?&dj=?&yz=?(錠)?(兩)?(文)&pc=[用戶的計算機名]
