每日病毒及木马播报(2008-04-11)

日期：2008-04-11

病毒名称：Trojan-PSW.Win32.OL-Game.cvp

病毒类型：盗号木马

危害指数：2

传播途径：网页木马/文件捆绑

传播平台：WIN9X/WINME/WINNT/Windows 2000/Windows XP/Windows 2003
 
该病毒是使用Delphi编写的盗号程序，采用Upack加壳方式试图躲避特征码扫描，加壳后长度为30,699字节，图标为Windows默认可执行文件图标，病毒扩展名为exe，主要通过网页木马、文件捆绑方式传播。
该木马程序被激活后，在目录%programfiles%下释放文件iwtel.exe；修改%systemroot%\system32\drivers\etc目录下hosts文件；通过API函数WinExec运行病毒程序iwtel.exe；以批处理的形式将自身删除。

iwtel.exe运行后，检测系统中是否存在avp.exe进程，如果存在则通过相关API函数将%systemroot%\system32\drivers\beep.sys替换，并修改文件属性为隐藏、系统；否则在%temp%目录下释放驱动tmp*.tmp，修改文件的属性为隐藏、系统；调用SCM写注册表项将tmp*.tmp注册成名为mhfp的服务,通过相关函数启动被注册的服务加载驱动，加载成功后使用API函数DeleteFileA将驱动文件tmp*.tmp删除；

在目录%temp%下释放动态库tmp*.tmp，修改文件属性为隐藏、系统；通过API函数LoadLibraryA将tmp*.tmp加载运行；遍历进程查找360safe.exe、360tray.exe、kppmain.exe、kwatch.exe并将其关闭；动态库运行后拷贝自身到%systemroot%\system32目录下，重命名为msosmhfp**.dll；修改如下注册表键值使进程都自动加载动态库msosmhfp**.dll；通过相关API函数获取动态库所在模块名称，与梦幻西游my.exe进行比较，如果是则通过读取其内存获取网络游戏账号和密码以及其它私人信息，以收信空间的形式发送给木马种植者；

在目录%systemroot%\system32\drivers目录下释放驱动msosfpids32.sys，修改文件属性为隐藏、系统；调用SCM写注册表项将msosfpids32.sys注册成名为fpids32的服务,通过相关函数启动被注册的服务加载驱动；以命令行的方式将病毒程序iwtel.exe删除。
 

驱动beep.sys、tmp*.tmp、msosfpids32.sys的作用是：钩取系统服务MDL，当由内存描述符表分配进程空间时，将msosmhfp**.dll写入到每个新创建的进程空间中；
 
墨者安全专家建议：

1.建议已安装其他杀毒软件的用户，下载并安装墨者安全专家版，并开启“革离术”保护自己的杀毒软件，和其它计算机安全软件不会被此病毒所关掉，和破坏。以保障所使用的计算机安全防护软件能正常的运行和所有功能的正常使用。

2.点击墨者安全专家控制台——选择漏洞补丁——选择禁止优盘光驱自动运行。

3.请开启墨者安全专家的“革离术”进行实时防护，并使用系统安全漏洞中心，检查系统漏洞，发现漏洞请点击“修复”完成漏洞修补。

4.保持使用墨者安全豪华版套装中的正版趋势反病毒专家，进行对系统病毒经常扫描的习惯，发现病毒或者隐患及时清除。

5.请将墨者安全豪华版中的正版趋势反病毒专家的自动升级功能开启，保持自动更新为最新病毒库，保证病毒及木马的及时发现及清除。
 
墨者安全专家最佳保护状态：