病毒大百科

这是一个针对多款网络游戏的盗号木马。它会通过读取内存的方式盗取用户的游戏帐号信息，并且关闭卡巴斯基及瑞星的警告窗口，阻止卡巴和瑞星向用户报告系统中的异常。

1.创建线程，循环查找如下窗口，找到则模拟鼠标点击关闭该窗口。
AVP.AlertDialog
AVP.Product_Notification
瑞星注册表监控提示

2.将自身复制到%SystemRoot%\DbgHlp32.exe

3.添加如下注册表项，实现开机自启动
[HEKY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"DbgHlp32"="%SystemRoot%\DbgHlp32.exe"

4.读取资源释放如下文件%SystemRoot%\DbgHlp32.dll

5.将该dll文件注入explorer.exe并设置全局钩子。如果检测到自己注入的进程为指定游戏的主程序则通过读取游戏住程序内存的方式获取用户的帐号信息并上传到木马投放者指定的网址。

6.创建一个批处理文件删除自身。

查找的游戏名称
gameclient.exe 浩方对战平台
xymain.bin 大话西游3
china_login.mpr 破天一剑
SO2Game 剑侠2
Conquer.exe 征服
QQlogin.exe qq华夏
Soul.exe 魔域