病毒名称：AntiVir ：TR/PSW.Online.bin

　　 　 　 　 Kaspersky ：Heur.Trojan.Generic

　　 　 　 　 NOD32v2：probably a variant of Win32/PSW.OnLineGames.NXI

　　 　 　 　 Rising ： Trojan.PSW.Win32.GameOL.qkb

　　VT扫描时间：2008.09.25 10:58:10 (CET)

　　EQS Lab编号：080925076

　　EQS Lab地址：http://hi.baidu.com/eqsyssecurity

　　病毒大小：15.5 KB (15,872 字节)

　　MD5码：C4D00D35FA68C7B1376E5CA269231CF2

　　病毒类型： 特洛伊木马

　　主要传播方式： 网络

　　测试平台： WinXP SP3系统 (默认Shell为BBlean) 　 EQSecurity（HIPS） 实机

　　危害程度：★★☆☆☆

　　病毒行为：

　　运行后释放lensch.dll

　　引用:

　　2008-09-25 22:13:57 创建文件 　

　　进程路径:F:Once523.exe

　　文件路径:C:windowssystem32lensch.dll

　　触发规则:所有程序规则->文件阻止及保护->?:*.dll

　　安装钩子

　　引用:

　　2008-09-25 22:13:59 安装全局钩子 　

　　进程路径:F:Once523.exe

　　文件路径:lensch.dll

　　钩子类型:WH_JOURNALRECORD

　　触发规则:所有程序规则->*

　　释放lenschk.exe 并调用 hash与23.exe一致

　　引用:

　　2008-09-25 22:13:35 创建文件 　

　　进程路径:F:Once523.exe

　　文件路径:C:windowssystem32lenschk.exe

　　触发规则:所有程序规则->文件阻止及保护->?:*.exe

　　2008-09-25 22:14:13 运行应用程序 　

　　进程路径:F:Once523.exe

　　文件路径:C:WINDOWSsystem32lenschk.exe

　　命令行:槈

　　触发规则:所有程序规则->阻止运行->%windir%*

　　安装钩子

　　引用:

　　2008-09-25 22:14:15 安装全局钩子 　

　　进程路径:C:WINDOWSsystem32lenschk.exe

　　文件路径:lensch.dll

　　钩子类型:WH_JOURNALRECORD

　　触发规则:所有程序规则->*

　　联网行为：

　　关键行为：

　　向系统目录创建exe　 dll

　　安装全局钩子

　　HIPS防范对策：

　　阻止陌生程序向系统目录创建exe　 dll

　　阻止陌生程序安装全局钩子

　　样本下载：http://bbs.janmeng.com/thread-802215-1-1.html