木马伪装成热血江湖客户端轻松盗号(sperls.dll)

最近发现不少玩家查询sperls.dll，检索的结果大都指向Win32.PSWTroj.OnLineGames.ni.458752病毒，这是一个伪装成热血江湖网游客户端的盗号木马。当玩家启动网游客户端准备登录网络游戏时，实际上并没有运行真正的游戏客户端，而是运行了一个伪装成客户端的木马程序。这样，玩家输入的账号信息会被木马轻易盗走。

以下是这关于这个病毒的详细分析和解决方案：

病毒名称(中文):热血江湖伪装登录器458752
威胁级别:★☆☆☆☆
病毒类型:偷密码的木马
病毒长度:458752
影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为:
这是一个会盗窃网络游戏《热血江湖》帐号的木马程序。它运行后会替换掉网游《热血江湖》的启动文件，让用户通过病毒伪装的启动文件进入游戏，从而盗取系统上的帐号信息，并发送给木马作者。

1.程序运行后，生成文件
%windows%\BO.exe
%System32%\terple.sys
%System32%\sperls.dll

2.在注册表中添加了注册项，如下：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"QQ项名"="%Windows%\BO.exe"

3.木马会自动删除原文件本身

4.木马会通过创建"_B"和"DHY"等互斥量，防止木马重复感染，木马会把dll文件注入explorer.exe，Client.exe进程中，安装全局钩子

5.遍历磁盘,查找 "yb_sync.dll"和"yb_mem.dll" 两个文件的所在路径.(热血江湖游戏文件)
把游戏目录下的程序 launcher.exe 重命名为 launchar.exe,并设置 launchar.exe 的文件属性为"系统"和"隐藏"。

将病毒文件 BO.exe 复制到游戏目录下,重命名为 launcher.exe.用户启动游戏时会运行病毒，查找窗口名为"YB_OnlineClient"的窗口,通过读取该游戏进程的内存方式盗取网游热血江湖的帐号信息并发送至木马作者指定的接收网址。

解决方案：
1.升级杀毒软件到最新版本可查杀该木马
2.对系统比较了解的朋友可以使用金山清理专家百宝箱中的文件粉碎器，删除以下病毒文件：
%windows%\BO.exe（%windows%指Windows安装目录，多数用户缺省是c:\windows）
%System32%\terple.sys（%system32%指windows系统目录，多数用户缺省为c:\windows\system32，下同）
%System32%\sperls.dll
launcher.exe（这是伪装成热血江湖客户端的病毒文件，直接在游戏安装目录下找到这个程序）
3.重启电脑，再使用金山清理专家，在线系统诊断，全面诊断中修复与上述文件相关的残留加载项。
4.修改文件夹选项，配置为显示所有文件包括受保护的操作系统文件，建议显示文件的扩展名，以查看文件的真面目，然后将被病毒隐藏的launchar.exe 重命名为 launcher.exe。
www.newjian.com