【IT专家网独家】病毒名称： Trojan-PSW.Win32.OnLineGames.kcw

　　病毒类型： 木马

　　文件 MD5： 0093bd7d51cf1e7a9b4a51630cf30fd1

　　文件长度： 52,529 字节

　　感染系统： Windows98以上版本

　　开发工具： Borland Delphi 6.0 - 7.0

　　加壳类型： ASPack 2.12 -> Alexey Solodovnikov [Overlay]

　　病毒描述：

　　该病毒属木马类，病毒运行后复制自身到%Windir%目录下，并在该目录下衍生病毒文件，并将衍生的病毒文件插入到explorer.exe进程中，可以获取用户帐号、密码、仓库密码、装备、元宝等相关信息。修改注册表添加启动项，病毒运行完毕后，删除自身。

　　行为分析：

　　本地行为:

　　1、文件运行后会释放以下文件

　　%WinDir%192896WL.DLL 44,337 字节

　　%WinDir%192896L.exe 52,529 字节

　　2、新增注册表

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\run]

　　注册表值: "WinSysW"

　　类型： REG_SZ

　　值： "C:\WINDOWS\192896L.exe"

　　描述:启动项，随系统的启动而运行，任务管理器中可见其进程。

　　注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

　　%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量

　　%Windir%\ WINDODWS所在目录

　　%DriveLetter%\ 逻辑驱动器根目录

　　%ProgramFiles%\ 系统程序默认安装目录

　　%HomeDrive% = C:\ 当前启动的系统的所在分区

　　%Documents and Settings%\ 当前用户文档根目录

　　代码分析

　　1、判断当前运行的文件的路径，如果是C:\WINDOWS，则衍生192896WL.DLL文件，创建启动项，将192896WL.DLL文件插入到explorer.exe进程中，然后退出程序;否则将删除老版本病毒文件，然后拷贝自身到C:\WINDOWS目录下，并运行，以满足启动192896WL.DLL文件的条件。