捕獲時間 2009-5-5 病毒癥狀 該樣本是使用“VC ”編寫的盜號木馬，由微點主動防御軟件自動捕獲，采用“”加殼方式，企圖躲避特征碼掃描，加殼后長度為“18,472字節”，圖標為“ ”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為盜取網絡游戲的帳號密碼信息。 用戶中毒后，游戲無故關閉，輸入帳號、密碼時游戲運行緩慢的現象，最終將導致虛擬財產被黑客盜取。 感染對象 Windows 2000/Windows XP/Windows 2003 傳播途徑 網頁木馬、文件捆綁、下載器下載 防范措施 已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”，請直接選擇刪除處理（如圖1）； 圖1 微點主動防御軟件自動捕獲未知病毒（未升級） 如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現" Trojan-PSW.Win32.OnLineGames.efxx”，請直接選擇刪除（如圖2）。 圖2 微點主動防御軟件升級后截獲已知病毒 對于未使用微點主動防御軟件的用戶，微點反病毒專家建議： 1.手動刪除以下文件： %temp%\jxsystem.Gif %temp%\jxinit.Dat 變量聲明： %SystemDriver% 系統所在分區，通常為“C:\” %SystemRoot% WINDODWS所在目錄，通常為“C:\Windows” %Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings” %Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp” %ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles” 病毒分析 （1）遍歷游戲進程game.exe,找到則結束進程； （2）遍歷進程avp.Exe和kvmonxp.Exe,如果發現則將自身復制到%temp%\jxsystem.Gif，然后退出； （3）釋放文件%temp%\jxinit.Dat，然后加載； （4）創建互斥體"cjxsjasdfgh"，防止二次運行； （5）設置全局消息鉤子，獲取用戶輸入的“用戶名”、“密碼”等信息； （6）成功盜取利用戶輸入的“用戶名”、“密碼”以及“密保”等信息后，將利用網頁收信方式，發送至黑客指定頁面； （7）將自身復制到%temp%\jxsystem.Gif，以圖片形式顯示，吸引用戶點擊； 病毒創建文件： %temp%\jxsystem.Gif %temp%\jxinit.Dat 病毒訪問網絡： jx***asj.3322.Org
