这是个啥木马？怎样清掉

来源：百度知道 编辑：UC知道 时间：2024/05/16 10:08:32
360安全卫士木马查杀历史报告

木马名称：Trojan-PSW/Win32.GameOnline.dpn
路径：C:\windows\system32\SGCQdll.dat
查杀时间 ：2009-06-22 22:50
木马名称：程序试图用隐蔽的方式启动
路径：C:\windows\system32\drivers\klan.sys
查杀时间 ：2009-06-22 22:50

这是通过消息钩子注入其它进程，盗取网络游戏密码的病毒。病毒由C语言编写，upx加壳保护。

病毒主程序运行后进行如下操作：

1．检查事件对象，确保只运行一个实例

病毒调用OpenEventA尝试打开名为"CZXSDERDAKSIICS_MX"的事件对象，如果成功则表示有一个实例在运行，病毒直接退出。如果不成功，病毒将生成这个事件对象。

2．查找并关闭安全软件

病毒通过调用CreateToolhelp32Snapshot、Process32Next等函数遍历进程，搜索"Twister.exe"、"FilMsg.exe"两个安全软件的进程，如果找到则调用TerminateProcess关闭进程。

3．提取权限

病毒调用OpenProcessToken、SeDebugPrivilege、LookupPrivilegeValueA等函数提升自己进程的权限。

4．关闭杀毒软件的提示

病毒生成两个新的线程用于关闭杀毒软件提示。

线程1 ：遍历进程搜索RavMon.exe进程，并遍历其线程，然后调用EnumThreadWindows枚举窗口，查找特定窗口并向其发命令消息关闭杀毒软件功能。

线程2 ：不断查找名称为"Product_Notification"、类名为"AlertDialog"的窗口，然后查找其名为"允许"、"跳过"的子窗口，向其发送WM_LBUTTONDOWN等消息 模拟点击，以此来关闭杀毒软件提示窗口。

5．释放动态库

病毒调用FindResourceA、CreateFileA等函数，从自己的资源（资源名称"MNDLL"）中释放一个dll文件为” %System%\csavpw0.dll”，并将该dll的文