病毒大百科

这是一个针对网络游戏《大话西游Online2》的盗号木马。该木马会关闭系统的自动更新，注入其它进程，同时会监控注册表，防止自己的注册表项被更改。如果检测到有游戏进程，它就以读写游戏内存数据的方式盗取帐号信息，并回传到指定的网址。

1.木马释放如下文件：
%systemRoot%systrm32\kvdxjisa.exe
%systemRoot%systrm32\kvdxjma.dll
%systemRoot%Fonts\ardaase.fon
%systemRoot%Fonts\kvdxjcf.dll
%systemRoot%Fonts\kvdxjcfa.dll

2.添加注册表项，注册为系统组件
[HEKY_CLASS_ROOT\CLSID\{AC87A354-ABC3-DEDE-FF33-3213FD7447CA}\InprocServer32]
@="C:\\WINDOWS\\system32\\kvdxjma.dll"
"ThreadingModel"="Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AC87A354-ABC3-DEDE-FF33-3213FD7447CA}\InprocServer32]
@="C:\\WINDOWS\\system32\\kvdxjma.dll"
"ThreadingModel"="Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{AC87A354-ABC3-DEDE-FF33-3213FD7447CA}"="kvdxjma.dll"

3.添加注册表项，关闭自动更新
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000001
"AUOptions"=dword:00000001

4.修改如下注册表项的键值为kvdxjma.dll：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="kvdxjma.dll"

当发现注入的是游戏主程序的时候则修改游戏的内存空间盗取用户的帐号信息。