xolehlpjh.dll,Trojan-PSW.Win32.OnLineGames.fpxx

热血江湖盗号木马Trojan-PSW.Win32.OnLineGames.fpxx被执行后，在系统目录%SystemRoot%\system32下释放文件“xolehlpjh.tmp”和 “xolehlpjh.nls”，使用API函数MoveFileExA把文件“xolehlpjh.tmp”重命名为“xolehlpjh.dll”；遍历进程查找“bo.exe”，找到后将其结束；修改如下注册表健值，使得“explorer.exe”进程及其子进程自动加载动态库 “xolehlpjh.dll”，后通过批处理执行自删除。

项：
HKLM\SOFTWARE\Classes\CLSID\{F0930A2F-D971-4828-8209-B7DFD266ED44}\InProcServer32\
指向数据：C:\WINDOWS\system32\xolehlpjh.dll
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer \ShellExecuteHooks\
健值：{F0930A2F-D971-4828-8209-B7DFD266ED44}
指向数据为空
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion \ShellServiceObjectDelayLoad\
健值：xolehlpjh.dll
指向数据：{F0930A2F-D971-4828-8209-B7DFD266ED44}

动态库“xolehlpjh.dll”被装载运行后，查找进程“360Tray.exe”和“360Safe.exe”找到后将其结束；设置全局钩子试图将“xolehlpjh.dll” 注入到所有进程中；之后枚举窗口查找游戏“热血江湖”的登录窗口，通过监视“鼠标”“键盘”消息来获取游戏的“帐号”、“密码”，把所获信息通过“收信空间”的方式发至“htp://7yzz.xy***4.cn/hainanren/lin.asp”
与“http://7y.xy***4.cn/POIST2987DH4387FDJ2HSU2/post.asp”。

感染对象
Windows 2000/Windows XP/Windows 2003

传播途径
网页木马、文件捆绑

微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-PSW.Win32.OnLineGames.fpxx”，请直接选择删除