病毒大百科

病毒在客户计算机上成功运行后删除自身。

病毒生成的 "LYMANGR.dll" 文件会枚举客户计算机上的进程,查找网络游戏"梦幻西游"的进程 my.exe 。再枚举该进程的模块,如没有发现另
一个文件 MSDEG32.dll 则通过写内存的方式把该病毒文件注入到 my.exe 里。

在客户计算机上创建了socket并绑定到 "2*2.1*9.2*4.1*3"。

比较客户计算机上的"梦幻西游"游戏目录下的 update.ini 文件里的版本号是否等于 1.5.120。

盗取客户计算机上的网络游戏"梦幻西游"的游戏帐号信息并发送到指定的接收网址。

添加文件:
%SystemRoot%\system32\LYLOADER.exe
%SystemRoot%\system32\LYMANGR.dll
%SystemRoot%\system32\MSDEG32.dll

添加注册表:
键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDEG32
数据:"LYLoader.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDWG32
数据:"LYLoadbr.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDCG32
数据:"LYLeador.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDOG32
数据:"LYLoador.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDSG32
数据:"LYLoadar.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDMG32
数据:"LYLoadmr.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDHG32
数据:"LYLoadhr.exe"

键名:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名字:MSDQG32
数据:"LYLoadqr.exe"

指定的接收网址:
hxxp://www.5151la.com/mh2007/post2007kj.asp/?server=xx&gameid=xx&pass=xx&pin=xx&wupin=xx&role=xx&equ=现金:xx 存银:xx&other=Build:xx
hxxp://www.raceswd.com/cs03/post.asp/?server=xx&gameid=xx&pass=xx&pin=xx&wupin=xx&role=xx&equ=现金:xx 存银:xx&other=Build:xx