安天实验室1月5日病毒预警

一、“大话木马”（Trojan/Win32.WOW.vno[Stealer]） 威胁级别：★★★★

    该病毒文件为大话西游游戏盗号木马，病毒运行后创建t322025.ini到%System32%目录下，衍生随机病毒名文件到临时目录下，遍历进程查找AVP.EXE进程，如果进程存在则拷贝rundll32.exe一份重命名为t322025.exe，调用CMD命令使用被重命名的t322025.exe文件（原文件名rundll32.exe）来启动临时目录下的病毒文件，如进程不存在则直接使用rundll32.exe启动临时目录下的病毒文件，临时目录下的病毒文件被启动后对进程进行提权操作，判断自身进程是否为svchost.exe，如不是则退出，如是则衍生病毒DLL文件到%System32%目录下，拷贝rpcss.dll系统文件为t3rpcss.dll，将病毒DLL文件注入到EXPLORER.EXE进程中，病毒DLL查找含有大话西游标题和xy2_ex.exe进程的窗口，安装消息钩子截取游戏账号密码通过URL方式将账号信息发送到作者指定的地址中。

二、“修改者”（Trojan/Win32.StartPage.cjh[Clicker]） 威胁级别：★★★★

    该恶意代码文件为恶意广告类木马，病毒运行后创建注册表项，弹出消息框（检测到您的系统设置与播放器有冲突！请点击桌面高清电影开始激情体验）的提示，调用iexplore.exe弹出一个广告链接网址，遍历C:\Documents and Settings\a\「开始」菜单\程序目录下是否存在*.url、*.lnk文件，如有则删除，创建一个Internet Explorer快捷方式到该目录下修改目标位置为："C:\Program Files\Internet Explorer\IEXPLORE.EXE" http://www.74***.com/?zzp使其打开时弹出指定的广告网址，创建多个*.url、*.lnk文件快捷方式到桌面，添加多个广告网址到IE浏览器的收藏夹内，修改注册表隐藏桌面上的Internet Explorer浏览器的右键菜单项，修改360安全浏览器的配置文件改为病毒指定的广告网址，试图创建修改%Documents and Settings%\a\Application Data\文件夹内的火狐浏览器、TT浏览器的配置文件的主页改为病毒指定的广告地址，创建多个.ico文件图标到%System32%目录下来设置病毒在桌面创建的.lnk文件的图标，修改注册表项创建3个.lnk文件到桌面使其无法正常删除。

安天反病毒工程师建议