木马PSW.Win32.OnLineGames.kuu分析

　　病毒名称： Trojan-PSW.Win32.OnLineGames.kuu 网管下载dl.bitscn.com

　　中文名称： 网游盗号木马 中国网管联盟bitsCN.com

　　病毒类型： 木马

网管u家u.bitsCN.com

　　文件 MD5： D1CA82FD63C7C760CBE43A2520A28E34

　　文件长度： 14,703 字节 网管网www_bitscn_com

　　感染系统： Windows98以上版本

　　开发工具： Borland Delphi v4.0 - v5.0 网管bitscn_com

　　加壳类型： Upack 0.3.9 beta2s 网管下载dl.bitscn.com

　　病毒描述：

　　该病毒属木马类，病毒运行后衍生病毒文件到系统目录下，并删除自身;修改注册表，将病毒衍生的DLL文件插入到windows应用程序进程中，禁止windows自动更新功能;该病毒可以盗取用户网络游戏的账号与密码。 网管论坛bbs_bitsCN_com

　　行为分析：

　　本地行为: 中国网管论坛bbs.bitsCN.com

　　1、病毒运行后删除自身，衍生病毒文件：

　　2、修改注册表： 网管u家u.bitsCN.com

　　将病毒衍生的DLL文件插入到windows应用程序进程中 中国网管联盟bitsCN.com

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\

      CurrentVersion\Windows\ 网管u家u.bitscn@com

　　键值: 字串: \"AppInit_DLLs \"=\"kafyjzy.dll\"

　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 网管联盟bitsCN@com

      {AB681598-AD5F-BC8C-77DC-748FAC8D3FBA}\InprocServer32\@ 中国网管论坛bbs.bitsCN.com

　　键值: 字串: \"C:\WINDOWS\system32\kafyjzy.dll\" 中国网管论坛bbs.bitsCN.com

　　3、病毒修改注册表，禁止windows自动更新：

网管网www_bitscn_com

　　HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\

网管联盟bitsCN@com

      WindowsUpdate\AU\AUOptions

网管网www.bitscn.com

　　值: DWORD: 1 (0x1)

　　HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\

网管bitscn_com

      WindowsUpdate\AU\NoAutoUpdate

网管bitscn_com

　　值: DWORD: 1 (0x1)

网管网www.bitscn.com

　　4、病毒衍生的病毒文件kafyjzy.dll插入explorer.exe和应级进程中。

　　网络行为: 网管下载dl.bitscn.com

　　该病毒将盗取的游戏账号与密码发送到以下地址：

　　加密前： 网管论坛bbs_bitsCN_com

　　http://www.wanda8.com/txfengyu/post.asp

网管u家u.bitscn@com