kbdgrms.dll,Trojan-PSW.Win32.OnLineGames.fpdm

Trojan-PSW.Win32.OnLineGames.fpdm被执行后，在系统目录%SystemRoot%\system32下释放文件“kbdgrms.tmp”和“kbdgrms.nls”，使用API函数 MoveFileExA把文件“kbdgrms.tmp”重命名为“kbdgrms.dll”；遍历进程查找“wow.exe”，找到后将其结束；修改如下注册表健值，使得“explorer.exe”及其子进程启动时自动加载动态库“kbdgrms.dll”，后使用批处理执行自删除。

项：
HKLM\SOFTWARE\Classes\CLSID\{E560642D-A32D-432c-9E7E-9A135CC37E0F}\InProcServer32\
指向数据：C:\WINDOWS\system32\kbdgrms.dll
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
健值：{E560642D-A32D-432c-9E7E-9A135CC37E0F}
指向数据为空
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\
健值：kbdgrms.dll
指向数据：{E560642D-A32D-432c-9E7E-9A135CC37E0F}

动态库“kbdgrms.dll”被装载运行后，查找进程查找“360Tray.exe”和“360Safe.exe”，找到后将其结束；循环遍历当前系统查找“wow.exe”，申请内存空间将文件“kbdgrms.dll”写入，创建远程线程；枚举窗口查找游戏“魔兽”的登录窗口，通过监视“鼠标”“键盘”消息来获取游戏的“帐号”、“密码”，把所获信息通过“收信空间”的方式发至http://xy.xy***4.cn/POSTYUE8DSF8S7EJ329X73K/mb.asp。