[转帖]警惕问道盗窃者Trojan-PSW.Win32.OnLineGames...

转帖:警惕问道盗窃者Trojan-PSW.Win32.OnLineGames.dqk
　　
　　Trojan-PSW.Win32.OnLineGames.dqk病毒运行后，衍生病毒副本到系统目录下，添加注册表Hook项，以挂载病毒体启动。该病毒为一款针对网络游戏《问道》的木马程序，Hook游戏进程asktao.mod进程截获用户名及密码，读取游戏配置文件config.ini获取账户信息发送出去。

清除方案：
1 、使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 　 (1)使用安天木马防线“进程管理”关闭病毒进程从项目4
　 　 　 explorer.exe。
　 　 (2)删除病毒文件：
　 　 　 %System32%\wddoor0.dll
　 　 (3)删除病毒添加的注册表项：
　 　 　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
　 　 　 \CurrentVersion\Explorer\ShellExecuteHooks\
　 　 　 键值：{68F7767A-090C-4BBF-A015-720ACC6706E2}
　 　 　 字符串: "hook wd"
　 　 　 　
　 　 　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
　 　 　 \{68F7767A-090C-4BBF-A015-720ACC6706E2}\InprocServer32\
　 　 　 键值：@
　 　 　 字符串:"%WinDir%\System32\wddoor0.dll

相关链接请参看：http://www.antiy.com/security/report/20071009.htm