Win32.PSWTroj.OnlineGames.kl.165969分析

　　威胁级别: ★☆☆☆☆ 病毒类型: 偷密码的木马 病毒长度: 165969

　　影响系统: Win9x WinMe WinNT Win2000 WinXP Win2003

　　病毒行为:

　　该木马是针对网络游戏《魔域》和“浩方”对战平台的盗号木马。病毒运送行后会衍生病毒文件至系统目录下，并创建服务以达到自启动的目的，然后注入游戏进程窃取帐号密码。

　　1.生成文件:

　　%Windir%\TIMHost.exe

　　%Windir%\system32\SVKP.sys

　　%Windir%\system32\TIMHost.dll

　　2.添加注册表,生成启动项

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　TIMHost = "%Windir%\TIMHost.exe"

　　3.创建服务:

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP

　　Type = dword:00000001

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP

　　Start = dword:00000002

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP

　　ErrorControl = dword:00000001

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP

　　ImagePath = hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,53,56,4b,50,2e,73,79,73,00,

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP

　　DisplayName = "SVKP"

　　4.病毒运行后会把DLL文件加载到非系统进程当中.

    5.病毒利用读取内存的方式盗取用户的账号信息,并通过网页提交的方式把相关信息发送到以下的网址:
http://www.x*****520.com/zhanggui3/lin1.asp