04.19病毒预警：“大胃王盗号木马”监视内存数据、盗号

　　“大胃王盗号木马73769”（Win32.PSWTroj.OnLineGames.fk.73769），这是一个面向大量网络游戏的盗号木马。它运行后会在后台秘密监视内存中的数据，从中窃取各种看上去像网游帐号和密码的信息，然后发送到木马种植者手中。

　　“魔兽华夏盗号者31500”（Win32.Troj.GameOnlineT.hc.31500），这是一个盗号木马程序。该木马程序会被注入到桌面进程explorer.exe中，搜寻并盗取《QQ华夏》、《魔兽世界》等网络游戏的帐号信息。

　　一、“大胃王盗号木马73769”（Win32.PSWTroj.OnLineGames.fk.73769） 威胁级别：★

　　这个病毒运行原理比较简单，它在潜入电脑后，要做的就是从内存中读取各种看上去像网游帐号和密码的数据，然后发送给病毒作者。由于是针对所有的进程作案，它便能盗取到所有的网游帐号。如果用户在电脑上使用了网银业务，那也有可能被记下帐户信息。

　　病毒进入用户系统后，会在系统盘下生成两个病毒文件，分别为%WINDOWS%目录下的ywwikrrh.exe，以及%WINDOWS%System32目录下的bkywvtfr.dll。需注意的是，这两个文件的名称并不局限于此，病毒能采用读取系统盘卷标信息的方式，随机生成其它名称。

　　其中的EXE可执行文件是病毒的主文件，它的数据会被写入注册表启动项，实现开机自启动，该启动项的名称也是随机生成。而那个.dll文件则会被注入到系统桌面进程explorer.exe中，查找目前运行中的进程，然后在后台秘密监视内存中的数据，如发现其中有看上去像网络游戏帐号或密码的数据，就会将其窃取，并筛选出玩家信息，一并发送到木马作者指定的远程服务器上，给用户造成虚拟财产的损失。

　　当运行完毕后，病毒会启动自我删除程序，删除原始文件，让用户难以发现系统中出现多余的文件。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-pswtroj-onlinegames-fk-73769-50540.html

　　二、“魔兽华夏盗号者31500”（Win32.Troj.GameOnlineT.hc.31500） 威胁级别：★

　　病毒进入电脑后，在系统盘中释放出两个病毒文件，分别为%WINDOWS%目录下的PTSShell.exe和%WINDOWS%system32目录下的PTSShell.dll。其中PTSShell.exe是病毒的主文件，它的相关数据会被写入注册表，让病毒实现开机自启动。

　　至于那个PTSShell.dll文件，它会负责注入系统桌面进程explorer.exe，查找网络游戏《QQ华夏》和《魔兽世界》的进程。习惯手动查杀的用户，只要删除这两个文件，并整理干净注册表，就能清除该毒。

　　如果发现了作案对象，病毒就会进一步将PTSShell.dll注入到游戏内存中，读取帐号和密码信息。只要作案成功，病毒就会立即将偷到的信息加密，然后发送到病毒作者指定的远程地址http://www.ck***66.com/wow***6/lin111.asp。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-gameonlinet-hc-31500-50541.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月19的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。