病毒大百科

这是一个网游盗号木马。它会关闭卡巴斯基和瑞星的监视窗口，不让用户知道系统中发生的异常。然后通过内存读取的方式盗取网络游戏《大话西游3》、《破天一剑》、《剑侠情缘2》、《征服》、《魔域》和“浩方对战平台”的帐号信息。

病毒运行后释放以下病毒文件:
%systemroot%\DbgHlp32.exe
%systemroot%\system32\DbgHlp32.dll

病毒初次运行时判断系统上是否存在事件对象"96831784",没有则运行.(通过此方法判断病毒是否已在当前系统上运行过)

创建线程查找窗口类名为 "AVP.ALertDialog" 和 "AVP.Product_Nitification" 的窗口,有则通过系统消息函数模拟用户鼠标点击"跳过"的操作.
查找窗口名为 "瑞星注册表监控提示" 的窗口,有则通过发送关闭消息使其关闭.

病毒文件 "%systemroot%\system32\DbgHlp32.dll" 注入 explorer.exe 进程空间.

病毒判断是否注入到以下进程,根据所注入进程执行不同的操作:
gameclient.exe
xymain.bin
china_login.mpr
SO2Game (判断所注入的进程是否包含这个关键字)
Conquer.exe
soul.exe

盗取系统上我网络游戏《大话西游3》、《破天一剑》、《剑侠情缘2》、《征服》、《魔域》和《浩方对战平台》的帐号信息,将盗取所得的信息发送至木马种植者指定的接收网址.

病毒创建注册表启动项:
Key: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Value: "DbgHlp32"
Data: "%systemroot%\DbgHlp32.exe"