病毒大百科

该病毒是网络游戏《神泣》的盗号木马。它拥有较多的变种，运行后会修改注册表，实现自动启动，然后盗取账号信息，并通过网页提交的方式发送到木马种植者手上。

1.生成文件.
%sys32dir%\aitlasys.exe
%sys32dir%\fstlbsys.sys
%sys32dir%\zptlcsys.dll

2.修改注册表生成启动项
HKEY_CLASSES_ROOT\CLSID\{50940F85-F015-14F1-A05F-F69858AC6D05}
HKEY_CLASSES_ROOT\CLSID\{50940F85-F015-14F1-A05F-F69858AC6D05}\InprocServer32
HKEY_CLASSES_ROOT\CLSID\{50940F85-F015-14F1-A05F-F69858AC6D05}\InprocServer32 @ "C:\WINDOWS\system32\zptlcsys.dll"
HKEY_CLASSES_ROOT\CLSID\{50940F85-F015-14F1-A05F-F69858AC6D05}\InprocServer32 ThreadingModel "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks {50940F85-F015-14F1-A05F-F69858AC6D05} "zptlcsys.dll"

3.还会生成其他的注册表键
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{50940F85-F015-14F1-A05F-F69858AC6D05}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{50940F85-F015-14F1-A05F-F69858AC6D05} @ "zptlcsys.dll"

4.病毒运行后会把dll文件注入到进程当中.

5.病毒运行后会删除病毒源文件.

6.病毒会把盗取得到的账号和密码通过网页提交的方式发送到以下网络地址:
http://www.********.com/11ZZZTT/post.asp