新盗号木马警报

巡游天官 · 发表于 2006-11-20 15:57:13

近日工作人员再次截获一种新的开云(中国)官方盗号木马，特此提醒广大玩家注意账号安全，并公布它的一些特征，希望广大玩家仔细分辨、避免被盗，加强账号安全意识，维护自身权益。<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" /><o:p></o:p>
<o:p> </o:p>
一、该木马具备以下特征：<o:p></o:p>
       1、木马在%systemDir%\System32\目录和%systemDir%\System32\Drivers\中创建以下文件：<o:p></o:p>
              xyepri.dll   、  RemoteDbg.dll   、 CelInDriver.sys  、   CelInDriver.sysk<o:p></o:p>
<o:p> </o:p>
       2、木马修改注册表以下位置 <o:p></o:p>
HKCR\CLSID\{613AF<?xml:namespace prefix = st1 ns = "urn:schemas-microsoft-com:office:smarttags" /><st1:chmetcnv w:st="on" UnitName="a" SourceValue="41" HasSpace="False" Negative="False" NumberType="1" TCSC="0">41A</st1:chmetcnv>-21B1-131B-1BFC-D<st1:chmetcnv w:st="on" UnitName="a" SourceValue="2" HasSpace="False" Negative="False" NumberType="1" TCSC="0">2A</st1:chmetcnv>90DF<st1:chmetcnv w:st="on" UnitName="a" SourceValue="4" HasSpace="False" Negative="False" NumberType="1" TCSC="0">4A</st1:chmetcnv>2B6}\InprocServer32\(Default) SUCCESS "C:\WINDOWS\system32\xyepri.dll"<o:p></o:p>
<o:p> </o:p>
3、将xyepri.dll注入到explorer.exe中。启动梦幻后，再注入进my.exe游戏进程窃取游戏账号密码。<o:p></o:p>
<o:p> </o:p>
4、将RemoteDbg.dll作为系统服务，利用服务启动木马。<o:p></o:p>
<o:p> </o:p>
二、建议玩家做如下检测：<o:p></o:p>
       1、搜索计算机内是否有以下异常文件：<o:p></o:p>
              xyepri.dll   、  RemoteDbg.dll   、 CelInDriver.sys  、   CelInDriver.sysk<o:p></o:p>
<o:p> </o:p>
       2、建议使用安全卫士等可以查看加载具体DLL的软件。查看explorer.exe。my.exe 进程中是否被注入了xyepri.dll   、  RemoteDbg.dll<o:p></o:p>
       <o:p></o:p>
       3、请在运行栏中输入“regedit”打开注册表，查看木马特征第二项中所提示的注册表位置是否有异常。<o:p></o:p>
<o:p> </o:p>
       4、请打开“控制面板”--<SPAN lang=EN-US style="COLOR: green; FONT-FAMILY: Wingdings; mso-bidi-font-size: 10.5pt; mso-font-kerning: 0pt; mso-ascii-font-family: 'Times New Roman'; mso-hansi-font-family: 'Times New Roman'; mso-bidi-font-family: 宋体; mso-char-type: symbol; mso-symbol-font-family: Wingdings">à“管理工具”--<SPAN lang=EN-US style="COLOR: green; FONT-FAMILY: Wingdings; mso-bidi-font-size: 10.5pt; mso-font-kerning: 0pt; mso-ascii-font-family: 'Times New Roman'; mso-hansi-font-family: 'Times New Roman'; mso-bidi-font-family: 宋体; mso-char-type: symbol; mso-symbol-font-family: Wingdings">à“服务” 检查服务中，是否存在  RemoteDbg.dll<o:p></o:p>
<o:p> </o:p>
我们已经在分析此类木马，并会尽快处理。如果大家检测到以上状况请保存重要资料后进行离线全盘杀毒或重装系统。<o:p></o:p>
如果您发现有以上特征，并且已经登录过游戏，请您尽快到一个安全的网络环境中修改密码，建议您使用“<A href="http://nie.163.com/2007/mibaoka/">密保卡</A>”绑定您的账号，这项服务是完全免费的。或者您还可以选择绑定“<A href="http://sms.nie.163.com/mhmb/">手机密保</A>”或“<A href="http://ekey.163.com/">将军令</A>”，以确保您的账号安全。<o:p></o:p>

新盗号木马警报

评分

相关帖子