病毒名称： Trojan-PSW.Win32.OnLineGames.
病毒类型： 木马
感染系统： windows98以上版本
开发工具： Borland Delphi 5.0
加壳类型： 无
病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件，修改注册表，添加启动项，以达到随机启动的目的，该病毒盗取用户敏感信息，包括网络游戏的账号与密码等。
行为分析：
1、病毒运行后衍生病毒文件：
C:WINDOWSsystem32dt.dll 其中dt.dll由rundll32.exe释放
C:WINDOWSMicrosoft undll32.exe
C:program filesinternet exploreruse6.dll
各个分区（除C盘以外）根目录下：Autorun.inf及mplay.com
2、修改C:\WINDOWSsystem32driversetchosts，添加如下规则：
HOSTS 文件
127.0.0.1 localhost
58.215.74.216 new3.etsoft.com.cn
58.215.74.216
www.gaodumm.com 58.215.74.216
www.88cc8.com 58.215.74.216 wg770.com
3、修改注册表，添加启动项，以达到随机启动的目的：
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun]
<Micro><C:WINDOWSMicrosoft undll32.exe>
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun]
<main><rundll32.exe "C:program filesinternet exploreruse6.dll" mymain>
4、该病毒盗取用户敏感信息，包括网络游戏的账号与密码等：
病毒文件Microsoft undll32.exe由自启动直接运行，处于系统进程列表；病毒文件use6.dll由系统rundll32.exe调用；病毒文件dt.dll注入系统所有进程。
--------------------------------------------------------------------------------
清除方案：
第一步：打上补丁，彻底远离和禁止onlinegames病毒
下载Firefox，3月份新的的Firefox已经集成了onlinegames病毒的补丁，
如果你是电脑高手更应该了解，针对IE7和遨游等的漏洞，最新Firefox已经修补了这些补丁。
没有此补丁，病毒将无法清楚干净，杀了病毒还会有，下载后安装并运行一次，
自动安装此病毒补丁。以后用这上网将不会再感染该病毒。点此进入下载:
http://huohu.91kb.cn第二步：查杀电脑里的onlinegames病毒
1、关闭系统还原，结束两个进程rundll32.exe；
2unlocker下载及使用方法：
http://peaset.5upan.com/mypane.aspx?down=ok&filename=unlocker1.8.5.zip&filepath=peaset%2f%c9%b1%b6%be%b1%d8%b1%b8%b9%a4%be%df%2funlocker1.8.5.zip&GUID=511F6A94747A8638 安装unlocker
用unlocker删除文件，方法举例：
比如我们现在要删除c:\windows\system32\drivers\aisi.sys这个文件：
找到c:\windows\system32\drivers目录下，找到aisi.sys，点右键——Unlocker，然后在出来的对话框中，选择“删除”点确定便可，如果弹出一个对话框，选“全部解锁”，然后这个对话框就自动关闭，接着直接删除这个文件就好了。这样文件便删除了。
3使用unlocker删除以下文件：（不一定都有）
C:\DOCUME~1\用户名\LOCALS~1\Temp\Rav20.dll
C:\DOCUME~1\用户名\LOCALS~1\Temp\Rav21.dll
C:\DOCUME~1\用户名\LOCALS~1\Temp\Gjzo0.dll
C:\DOCUME~1\用户名\LOCALS~1\Temp\LgSy2.dll
C:\DOCUME~1\用户名\LOCALS~1\Temp\LgSy1.dll
C:\DOCUME~1\用户名\LOCALS~1\Temp\rundl132.exe
C:\DOCUME~1\用户名\LOCALS~1\Temp\c0nime.exe
C:\DOCUME~1\用户名\LOCALS~1\Temp\iexpl0re.exe
C:\DOCUME~1\用户名\LOCALS~1\Temp\winlog0n.exe
4、修改注册表，删除以下两项：
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun]
<Micro><C:WINDOWSMicrosoft undll32.exe>
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun]
<main><rundll32.exe "C:program filesinternet exploreruse6.dll" mymain>
5、使用unlocker删除C:\WINDOWSsystem32driversetchosts
第三步：很关键的
使用资源管理器（开始-所有程序-附件-windows资源管理器）打开各个分区，删除所有分区下面的Autorun.inf及mplay.com
（这步为关键一步，请小心，否则前功尽弃）
[ 此贴被媚俗在2007-07-13 22:11重新编辑 ]
