一、 病毒标签：
病毒名称： Trojan-PSW.win32.GamePass.gd
病毒类型： 木马
文件 MD5： FB05BC1DC3C1CA66E44E8B69AEADEEE5
公开范围： 完全公开
危害等级： 3
文件长度： 38,289 字节
感染系统： windows98以上版本
加壳类型： 未知壳
二、 病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件到系统目录下，修改注册表，使系统静音，添加启动项，以达到随机启动的目的。伪装系统进程。病毒释放的文件Lgsym.dll插入系统进程explorer.exe中。这是一个未知壳，未脱壳时不能在虚拟机中运行，脱壳后可以运行。未脱壳运行后会生成以下文件：
%WINDIR%5359-8621-2429-7641-5702\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\Licence.SLS
而脱壳后运行无上术文件。说明上述文件是壳释放的文件。
该木马专门盗取网络游戏完美世界的账号与密码。衍生的文件LgSyl.dll可以监视完美世界进程ElementClient.exe并记录游戏账号与密码。
三、 行为分析：
1、病毒运行后衍生病毒文件到系统目录下：
%system32%\lgsym.dll
%system32%\winsusrm.dll
%WINDIR%\iexpl0re.exe
%WINDIR%5359-8621-2429-7641-5702\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\Licence.SLS
2、修改注册表，添加启动项，以达到随机启动的目的：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
键值
: 字串
: "0wexiqd6lx"="C:\winnt\iexpl0re.exe"
3、修改注册表，使系统静音：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses\{6994AD04-93EF-11D0-A3CC-00A0C9223196}\##?#PCI#VEN_8086&DEV_24C5&SUBSYS_4720414C&REV_02#3&13C0B0C5&0&FD#{6994ad04-93ef-11d0-a3cc-00a0c9223196}\#Wave\Device Parameters\Mixer\0\Controls\1
新建键值：字串：
"Channel0"=DWORD: 1 (0x1)
原键值：字串：
"Channel0"=DWORD: 0 (0)
4、伪装系统进程：
该病毒进程名为
iexpl0re.exe伪装系统进程
iexplore.exe。
5、病毒释放的文件Lgsym.dll插入系统进程explorer.exe中。
LgSym.dll
Trojan-PSW.Win32.Nilage.gp
LgSym.dll可以监视网络游戏完美世界进程ElementClient.exe，当用户启动ElementClient.exe进程后，病毒会记录输入的游戏账号与密码。
server=?
&
gameid=&
&
pass=
&
pin=
&
wupin=
&
role=
&
equ=
&
other=
server=?
&
gameid=&
机器名
:%20viewstatus.asp
金钱：
金
银
铜
注：
% System%是一个可变路径。病毒通过查询
操作系统来决定当前
System文件夹的位置。
Windows2000/NT中默认的安装路径是
C:\Winnt\System32，
windows95/98/me中默认的安装路径是
C:\Windows\System，
windowsXP中默认的安装路径是
C:\Windows\System32。
四、 清除方案：
(1) 使用安天木马防线“进程管理”关闭病毒进程
iexpl0re.exe
结束进程explorer.exe后立即删除文件Lgsym.dll。
(2) 删除病毒文件
%system32%\lgsym.dll
%system32%\winsusrm.dll
%WINDIR%\iexpl0re.exe
%WINDIR%5359-8621-2429-7641-5702\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\Licence.SLS
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
键值: 字串: "0wexiqd6lx"="C:\winnt\iexpl0re.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses\{6994AD04-93EF-11D0-A3CC-00A0C9223196}\##?#PCI#VEN_8086&DEV_24C5&SUBSYS_4720414C&REV_02#3&13C0B0C5&0&FD#{6994ad04-93ef-11d0-a3cc-00a0c9223196}\#Wave\Device Parameters\Mixer\0\Controls\1
新建键值：字串："Channel0"=DWORD: 1 (0x1)
原键值：字串："Channel0"=DWORD: 0 (0)
高喜宝 分析于哈尔滨，为国出点力。
