Win32.Troj.OnLineGames.ak.41256 手动专杀及 病毒资料

该病毒是网络游戏《神泣》的盗号木马。病毒运行后会关闭一些安全软件的进程，然后盗取游戏账号和密码等信息，并通过网页提交的方式发送到木马种植者手上。

1.生成隐藏病毒文件
%Sys32dir%\msosfasq.dat
%Sys32dir%\msosfasq00.dll
%Sys32dir%\drivers\msosmsfpfis64.sys

2.修改注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows AppInit_DLLs "" "msosfasq00.dll"

3.生成服务
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 Type dword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 Start dword:00000002
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 ErrorControl dword:00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 ImagePath hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,64,72,69,76,65,72,73,5c,6d,73,6f,73,6d,73,66,70,66,69,73,36,34,2e,73,79,73,00,
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msfpfis64 DisplayName "msfpfis64"

4.病毒运行后会自删除.

5.病毒运行会把DLL文件注入到Explorer.exe进程和非系统进程当中.

6.病毒还会结束KWatch.exe,KPPMAIN.EXE,360SAFE.exe等安全软件的进程.

7.病毒会利用消息钩子盗取用户的账号和密码等信息,并以网页提交的方式发送到以下的网址当中:
http://www.******.com/haina/post.asp