【IT168 专稿】该样本是使用“VC”编写的盗号木马，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“24,576 字节”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播。
病毒主要目的为盗取用户游戏的帐号密码信息。用户中毒后，会出现出现网络运行缓慢， windows系统无故报错、游戏无故退出等现象。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑、下载器下载
病毒分析
（1）创建线程，释放病毒文件%SystemRoot%\fOnts\Rfs3DRdsUfkma5.Ttf，病毒会读取该文件中的字符串，与当前生成的字符串进行比较，如果字符串一致，释放动态链接库文件%SystemRoot%\fonts\E4kaa97Nsz8WJ9UV.fon，设置文件属性为隐藏，并加载，获得其导出函数JUFndB4pARSJ的虚拟地址。
（2）创建进程快照，在当前进程列表中查找游戏主进程，如果找到，则调用CryptoAPI函数为该进程名计算对应的加密字符串。
（3）提升病毒自身权限为SeDebugPrivilege权限，使其拥有对其他进程的访问权。
（4）病毒通过比较进程名的加密字符串来判断要打开的进程是否为目标进程，若相同，终止目标进程。
（5）搜索文件%SystemRoot%\system32\VErCLSID.exe，若找到，删除该文件。
（6）安装钩子，修改注册表，将E4kaa97Nsz8WJ9UV.fon注入到explorer.exe进程,监视用户游戏客户端，获取密码、密保等信息，并将这些信息发送到黑客指定网址。
（7）调用cmd.exe /c del，删除自身。
病毒创建文件：
%SystemRoot%\f0nts\Rfs3DRdsUfkma5.Ttf
%SystemRoot%\fonts\E4kaa97Nsz8WJ9UV.fon
病毒删除文件：
%SystemRoot%\system32\VErCLSiD.exe
病毒创建注册表：
HKEY_LOCAL_MACHINE\Software\microsoft\windows\currentversion\Explorer\shellexecutehooks\{0CF2A461-4E55-4A3F-8375-97982911BBF0}
HKEY_CLASSES_ROOT\CLsID\{0CF2A461-4E55-4A3F-8375-97982911BBF0}
手动解决办法：
1、使用相同版本文件替换%SystemRoot%\system32\VErCLSiD.exe
2、手动删除以下文件：
%SystemRoot%\f0nts\Rfs3DRdsUfkma5.Ttf
%SystemRoot%\fonts\E4kaa97Nsz8WJ9UV.fon
3、手动删除以下注册表值：
HKEY_LOCAL_MACHINE\Software\microsoft\windows\currentversion\Explorer\shellexecutehooks\{0CF2A461-4E55-4A3F-8375-97982911BBF0}
HKEY_CLASSES_ROOT\CLsID\{0CF2A461-4E55-4A3F-8375-97982911BBF0}
