病毒名称(中文):魔兽地狱烈焰盗号者病毒别名:威胁级别:★★☆☆☆病毒类型:偷密码的木马病毒长度:90112影响系统:Win9xWinMeWinNTWin2000WinXPWin2003

　　病毒行为:

　　这是一个针对网游《魔兽世界》盗号木马程序。它会关闭杀毒软件卡巴斯基的进程，然后盗取电脑上网络游戏《魔兽世界》的帐号信息。为阻止用户查杀，它还注入系统关键进程中运行，造成直接关闭进程时系统运行可能出现异常。

　　1.程序运行后，修改文件

　　%windows%win.ini

　　添加新节

　　[cqit]

　　cqit=msoscqit00.dll

　　便于用cqit代替病毒文件，免得用户怀疑

　　2.创建批处理程序，将自己的源文件删除，避免被用户发现

　　3.在注册表中添加了注册项，注册为服务，设为自启动，如下：

　　HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesfpids32

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionWindows

　　项名：AppInit_DLLs""值：hex(2):6d,73,6f,73,63,71,69,74,30,30,2e,64,6c,6c,00即msoscqit00.dll

　　4.将生成的文件msoscqit00.dll用cqit名注入系统进程services.exe中，搜索魔兽世界的进程，枚举窗口名，查找是否有名字

　　为msos的游戏窗口。一旦发现目标，病毒就会通过内存读写的方式窃取玩家的帐号信息，并将其发送到木马作者指定的多个

　　远程服务器。

　　-----------------------------------------------------

　　补充动作：

　　1.病毒释放msosfpids32.sys到%systemroot%system32drivers

　　2.创建自启动服务fpids32来启动驱动程序msosfpids32.sys。

　　3.病毒运行后，会通过驱动msosfpids32.sys来隐藏文件，文件名是以msos开头的都过滤掉。

　　4.病毒通过驱动程序来恢复SSDTHOOK,使一些杀毒软件的监控失效。

　　5.程序运行后，修改文件%windows%win.ini

　　添加新节

　　[cqit]

　　cqit=msoscqit00.dll

　　便于用cqit代替病毒文件，以免用户怀疑。

　　6.创建批处理程序，将自己的源文件删除，避免被用户发现。

　　7.病毒通过修改注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionWindows下的

　　AppInit_DLLs项来实现将生成的文件msoscqit00.dll用cqit名注入其他进程中，搜索魔兽世界的进程，枚举窗口名，

　　查找是否有名字为msos的游戏窗口。一旦发现目标，病毒就会通过内存读写的方式窃取玩家的账号信息，

　　并将其发送到木马作者指定的多个远程服务器。