該盜號(hào)木馬會(huì)在后臺(tái)運(yùn)行，并試圖盜取網(wǎng)絡(luò)游戲《傳奇》、《傳奇世界》、以及《魔獸》等的帳號(hào)與密碼，給游戲玩家?guī)?lái)很大的損失。以下就是具體方案的描述，希望在你今后的學(xué)習(xí)中會(huì)有所幫助。

有位網(wǎng)友反應(yīng)說(shuō)，他的電腦運(yùn)行MYIE2時(shí)經(jīng)常出錯(cuò)關(guān)閉。

讓他用HijackThis(您可以到http://endurer.ys168.com下載)掃描log，發(fā)現(xiàn)如下可疑項(xiàng)目：

F2 - REG:system.ini: Shell=Explorer.exe 1

O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O4 - HKLM\..\Run: [QQ] C:\Program Files\system\run.exe

O4 - HKLM\..\Run: [3721.com] C:\Program Files\system\system.exe

O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE

O4 - HKLM\..\Run: [lingx] C:\WINDOWS\linxe\Intrenet.exe

O4 - HKLM\..\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer

用WinRAR尋找上面的文件，除了C:\WINDOWS\linxe\Intrenet.exe外，都找到并打包備份，并為文件加上.del擴(kuò)展名或把文件夾改名?？吹紺:\WINDOWS\WINLOGON.EXE的圖標(biāo)，讓我想起了前不久遇到的傳奇盜號(hào)木馬Trojan.PSW.Lmir(詳見(jiàn)：遭遇Trojan.PSW.Lmir等病毒)，仔細(xì)一找，果然發(fā)現(xiàn)MSCONFIG.COM、regedit.com、rundll32.com等com文件，都加了.del擴(kuò)展名。

下載瑞星注冊(cè)表修復(fù)工具，果然EXE文件關(guān)聯(lián)被修改了，于是修復(fù)。

卸載了中文上網(wǎng)(CNNIC_IDN)和桌面媒體。

到http://endurer.ys168.com下載“瑞星殺毒助手”，使用瑞星在線免費(fèi)查毒，結(jié)果如下：

2006-10-29 18:33:8　瑞星殺毒助手

Windows XP Service Pack 2(5.1.2600)

文件名 病毒名

WINLOGON.EXE>>C:\WINDOWS\WINLOGON.EXE Trojan.PSW.Misc.r

C:\WINDOWS\system32\MSCONFIG.COM.del Trojan.PSW.Misc.r

C:\WINDOWS\system32\regedit.com.del Trojan.PSW.Misc.r

C:\WINDOWS\system32\command.pif Trojan.PSW.Misc.r

C:\WINDOWS\system32\spted.dll Trojan.DL.QQHelper.gen

C:\WINDOWS\system32\JPG圖片.dll.del Backdoor.Prosti.bo

C:\WINDOWS\system32\rundll32.com.del Trojan.PSW.Misc.r

C:\WINDOWS\system32\dxdiag.com.del Trojan.PSW.Misc.r

C:\WINDOWS\system32\finder.com.del Trojan.PSW.Misc.r

C:\WINDOWS\Debug\DebugProgram.exe Trojan.PSW.Misc.r

C:\WINDOWS\1.com.del Trojan.PSW.Misc.r

C:\WINDOWS\explorer.com.del Trojan.PSW.Misc.r

C:\WINDOWS\ExERoute.exe.del Trojan.PSW.Misc.r

C:\WINDOWS\finder.com.del Trojan.PSW.Misc.r

C:\WINDOWS\WINLOGON.EXE.del Trojan.PSW.Misc.r

C:\Program Files\Common Files\iexplore.pif Trojan.PSW.Misc.r

C:\Program Files\Internet Explorer\PLUGINS\System.exe Trojan.Agent.ayt

C:\Program Files\Internet Explorer\iexplore.com Trojan.PSW.Misc.r

C:\Program Files\system1\run.exe Trojan.DL.VB.aqn

C:\Program Files\system1\dmshell.dll Trojan.Clicker.tot

其中第1項(xiàng)，內(nèi)存中的WINLOGON.EXE進(jìn)程已被瑞星查毒程序清除，其余的全部用“瑞星殺毒助手”清除。

可惜瑞星對(duì)

C:\WINDOWS\system32\wmpdrm.dll

C:\WINDOWS\system32\spoolsv\spoolsv.exe

沒(méi)反應(yīng)。

“密西木馬(Trojan.PSW.Misc)病毒：盜號(hào)木馬，通過(guò)網(wǎng)絡(luò)傳播，依賴系統(tǒng)：WIN 9X/NT/2000/XP。

這是一個(gè)盜號(hào)木馬，運(yùn)行后它會(huì)將自身復(fù)制到系統(tǒng)目錄中，同時(shí)修改注冊(cè)表啟動(dòng)項(xiàng)目以實(shí)現(xiàn)隨系統(tǒng)啟動(dòng)自動(dòng)運(yùn)行。該盜號(hào)木馬會(huì)在后臺(tái)運(yùn)行，并試圖盜取網(wǎng)絡(luò)游戲《傳奇》、《傳奇世界》、《魔獸》等的帳號(hào)和密碼，給游戲玩家?guī)?lái)?yè)p失。

【編輯推薦】

1. 貝殼云安全報(bào)告：10月盜號(hào)木馬利用熱點(diǎn)傳播
2. ChinaJoy落幕 “網(wǎng)游盜號(hào)木馬CG”盜號(hào)正酣
3. 新型網(wǎng)銀盜號(hào)木馬現(xiàn)身 致電腦黑屏竊錢財(cái)
4. 黑客產(chǎn)業(yè)鏈利用百度搜索加快盜號(hào)木馬傳播
5. 警惕圖片背后隱藏的盜號(hào)木馬與惡意程序