危险等级：★★★
病毒名称：Trojan.PSW.Win32.XYOnline.og
截获时间：2007-10-22
入库版本：19.46.02
类型：病毒

感染的操作系统：Windows XP, Windows NT, Windows Server 2003, Windows 2000

威胁情况：

传播级别：低

全球化传播态势：低

破坏力：低

清除难度：一般

破坏手段：偷盗用户敏感信息

这是一个偷取网络游戏"大话西游3"密码的木马病毒。

    病毒运行后,从自身资源里释放一个dh3atl.dll到%SYSTEMROOT%\\System32目录中,再用LoadLibraryA把DLL启动起来.

    这个dh2atl.dll是关键,所有的病毒行为都在其中,当DLL被加载后,病毒会先CreateThread一个线程,利用GetModuleFileNameA和GetCurrentProcessId得到加载dll的进程相关信息后,和Explorer.exe,Ollydbg.ini,xymain.bin相比.

    如果加载这个DLL的进程是Ollydbg,病毒会用LookupPrivilegeValueA,AdjustTokenPrivileges等函数提升自身的权限,然后遍历系统进程关掉smss.exe,csrss.exe和winlogon.exe这三进程,使系统崩溃.

    如果加载这个dll的进程是Explorer.exe,病毒会再起一个线程,使用SetWindowsHook,挂WH_MOUSE,WH_KEYBOARD钩子,再使用CreateMutex创建一个 "DH3"的互斥.

    如果加载这个dll的进程是"xymain.bin",病毒会先检测是否有"DH3"这个互斥存在,如果存在,则再启一个线程,利用GetWindow,GetForegroundWindow,GetClassNameA等检测"大话西游3"的窗口标题,找到后,就可以得到当前玩家的游戏人物的级别信息,再搜索是否有"请输入将军"的标题,如果有,记录将军令信息,然后和人物级别以及帐号密码等一起发送到指定的网址上.

安全建议：

    1 安装正版杀毒软件、个人防火墙和卡卡上网安全助手,并及时升级，瑞星杀毒软件每天至少升级三次。

    2 使用“瑞星系统安全漏洞扫描”，打好补丁，弥补系统漏洞。

    3 不浏览不良网站，不随意下载安装可疑插件。

    4 不接收QQ、MSN、Emial等传来的可疑文件。

    5 上网时打开杀毒软件实时监控功能。

    6 把网银、网游、QQ等重要软件加入到“瑞星帐号保险柜”中，可以有效保护密码安全。

清除办法：

    杀毒软件清除办法：

    安装杀毒软件，升级，对电脑进行全盘扫描，按照软件提示进行操作，即可彻底查杀。

（责任编辑：hahack）