Trojan-PSW.Win32.OnLineGames.ejgy_在线百科全书查询
Trojan-PSW.Win32.OnLineGames.ejgy
Trojan-PSW.Win32.OnLineGames.ejgy，盗号木马。捕获时间为2009年8月10日，主要目的是盗取“完美国际”游戏的贴密码信息。
基本资料：
盗号木马
Trojan-PSW.Win32.OnLineGames.ejgy
捕获时间
2009-8-10
危害等级
中
病毒症状
该样本是使用“VC”编写的“完美国际”盗号木马，由微点主动防御软件自动捕获，长度为“16,384字节”，图标为“
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=''Click here to open new window'';}" border=0>”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为盗取“完美国际”游戏的帐号密码信息。
用户中毒后，会出现登录游戏输入用户名、密码时系统运行缓慢，游戏过程中客户端无故退出等现象。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑、下载器下载
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=''Click here to open new window'';}" border=0>
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-PSW.Win32.OnLineGames.ejgy”，请直接选择删除（如图2）。
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=''Click here to open new window'';}" border=0>
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法：
1、手动恢复以下文件：
拷贝相同版本程序到: %SystemRoot%\\system32\\verclsid.exe。
2、手动删除以下文件:
%SystemRoot%\\system32\\ss12AA02dll.dll
%SystemRoot%\\Fonts\\MSar12AA02exe.ttf
3、手动删除以下注册表键值:
键:HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\explorer\\ShellExecuteHooks\\
{5A041F13-A111-12B0-B0CF-F99818AA68A5}
键:HKEY_CLASSES_ROOT\\CLSID\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}
键:HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\explorer\\browserHelperObjects\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}
键:HKEY_LOCAL_MACHINE\\Software\\Microsoft\\WindowsNT\\CurrentVersion\\Windows
值:AppInit_DLLS
数据:null
变量声明：
%SystemDriver% 系统所在分区，通常为“C:\\”
%SystemRoot% WINDODWS所在目录，通常为“C:\\Windows”
%Documents and Settings% 用户文档目录，通常为“C:\\Documents and Settings”
%Temp% 临时文件夹，通常为“C:\\Documents and Settings\\当前用户名称\\Local Settings\\Temp”
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\\ProgramFiles”
病毒分析
（1）创建互斥体，防止多次运行。
（2）提升自身进程权限，遍历进程列表，查找是否有“完美国际”游戏进程，若找到，终止该进程。
（3）释放批处理文件%TEMP%\\~AR0.bat,创建线程，执行该文件，该文件主要作用是用来查找文件%SystemRoot%\\system32\\verclsid.exe 是否存在，如果存在，便将其删除。
（4）释放文件%SystemRoot%\\system32\\ss12AA02dll.dll,设置文件属性为隐藏，并载入, 删除%TEMP%\\~AR0.bat。
（5）通过修改注册表键值、安装钩子，将病毒注入到游戏进程，监控游戏客户端帐号密码信息，将其发送到黑客指定地址。
（6）将病毒自身重命名,复制到%SystemRoot%\\Fonts\\MSar12AA02exe.ttf,通过修改注册表，达到自动运行病毒的目的。
（7）创建文件%TEMP%\\~AR0.bat，并执行，删除病毒自身和~AR0.bat。
病毒创建文件：
%TEMP%\\~AR0.bat
%SystemRoot%\\system32\\ss12AA02dll.dll
%SystemRoot%\\Fonts\\MSar12AA02exe.ttf
病毒删除文件：
%SystemRoot%\\system32\\verclsid.exe
%TEMP%\\~AR0.bat
病毒创建注册表:
键：HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\explorer\\ShellExecuteHooks\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}
键：HKEY_CLASSES_ROOT\\CLSID\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}
键：HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\explorer\\browserHelperObjects\\{5A041F13-A111-12B0-B0CF-F99818AA68A5}
键：HKEY_LOCAL_MACHINE\\Software\\Microsoft\\WindowsNT\\CurrentVersion\\Windows
值:AppInit_DLLS
数据:ss12AA02dll.dll
清除步骤
Trojan.PSW专杀工具 简介杀毒步骤:
用瑞星专杀工具
1.以Administrator身份登陆
2.下载瑞星Trojan.PSW专杀工具
3.断开网络
4.打开浏览器,工具-Internet选项-删除文件-选中"删除所有脱机内容"
5.运行-MSCONFIG,查看启动加载项里可疑启动项删除掉
6.重启机器,按F8进入安全模式
7.使用专杀工具全面杀毒
