Win32.Troj.EncodeGameT.cn.106496

这是一个盗号木马程序。它的目标是网络游戏《封神榜Ⅱ》，作案成功后就会发送赃物到病毒作者指定的地址。

1.该样本将字符串分割成小段，且逆序存放为硬编码，调用时将字符拼接起来。
2.遍历当前所有进程，发现"360Tray.exe"和"360Safe.exe"，结束.
3.通过特征码和窗口定位游戏。
4.释放slbiopfs2.dll和slbiopfs2.nls文件到%sys32dir%目录下.
5.通过HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
来启动
6.解密配置文件，得到收信地址，并往收信地址发信。

发信地址
http://kaji****ka02.b75.53dns.com/lkjjlkd/twtwelin.asp
http://x****d.a141.zgsj.net/wesd/recvd.asp