TSPY_ONLINEG.OMU

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它窃取与特定游戏相关的用户名和密码等敏感信息。

它需要主要组件才能成功执行预期例程。

安装

它植入下列组件文件：

• %Windows%\setupball.bmp - encrypted dll file(detected as TSPY_ONLINEG.OMU when decrypted)
• %Windows%\version.dat
• %Windows%\wintmp.dat
• %Windows%\winurl.dat
• %User Temp%\del{random}.bat - deletes the initiial copy of the malware, deletes the batch file itself, and renames an existing olesau32.dll(malware copy)

(注意: %Windows% 是 Windows 文件夹，通常位于 C:\WINDOWS 或 C:\WINNT。. %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它向下列进程中注入代码：

• explorer.exe

进程终止

它终止在受感染的系统内存中运行的下列进程：

• V3LTray.exe
• V3LSvc.exe
• V3Light.exe
• V3LRun.exe

植入例程

它在保存收集信息的位置植入下列文件：

• d3d8d{number}.ini

下载例程

趋势科技将下载的文件检测为:

• BKDR_TENPEQ.SM

信息窃取

它窃取与以下游戏相关的用户名和密码等敏感信息：

• DKonline.exe
• DuelPoker.exe
• PMClient.exe
• NMWizard24.exe
• heroes.exe
• Poker.exe
• HgSel.exe
• NGM.exe
• ArcheAge.exe
• fifazf.exe
• client.exe
• KRITIKA_Client.exe

窃取信息

它通过 HTTP POST 将收集的信息发送到下列 URL：

• www.{BLOCKED}la.com/up/otp.asp

其他详细信息

它需要主要组件才能成功执行预期例程。