病毒大百科

这是一个网络游戏盗号木马变种。病毒运行后复制自身至系统文件夹，并释放Dll注入桌面进程，修改注册表以开机自启动。病毒通过注入的方式搜索当前进程是否指定网络游戏进程，如果是则通过内存读写的方式盗取网络游戏帐号和密码等信息，发送至远程网址。病毒通过创建线程，定时（1秒）搜索并关闭卡巴斯基和瑞星的实时监控窗口，使用mixerOpen、mixerSetControlDetails打开和控制音量，以防用户察觉。

(1)生成文件
%windir%\msccrt.exe
%windir%\security\tmp.edb
%sys32dir%\msccrt.dll
最后删除自身

(2)生成注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run msccrt "%windir%\msccrt.exe"

(3)创建线程，定时（1秒）搜索并关闭卡巴斯基和瑞星的实时监控窗口，使用mixerOpen、mixerSetControlDetails打开和控制音量，以防
用户察觉
AVP.AlertDiaglog
AVP.Product_Noification
瑞星注册表监控提示

(4)msccrt.dll通过注入系统程序进程，查找当前进程是否ElementClient.exe、china_login.mpr、gameclient.exe、SO2Game、Conquer.exe，如果是则开始盗号操作：
通过读写内存的方式盗取网络游戏"破天一剑"和"完美世界"、SO2Game、征服等的帐号、密码信息，盗取成功后发送至远程网址

(5)通过读写配置文件判断用户所在服务器
userdata\currentserver.ini