Trojan-PSW:W32/OnlineGames

Họ Trojan-PSW:W32/OnlineGames là khá lớn. Các biến thể trong gia đình này đều được thiết kế để ăn cắp thông tin bí mật từ người chơi các trò chơi trực tuyến phổ biến, chẳng hạn như World of Warcraft. Đồng thời bí mật cài đặt các chương trình độc hại khác.

Thông tin chi tiết

W32/OnlineGames ăn cắp mật khẩu Game Trực Tuyến được thiết kế để đánh cắp thông tin tài khoản mà cho phép một hacker truy cập từ xa vào tài khoản của người chơi. Các hacker có thể đăng nhập và ăn cắp tài sản ảo của người chơi bằng cách chuyển chúng vào tài khoản khác. Các tài sản đó thường được bán hoặc bán đấu giá bằng tiền thật. Với hàng triệu người chơi, trojan như vậy có thể dễ dàng ảnh hưởng đến hàng ngàn người sử dụng.

Cài đặt

Thông thường các trojan GameOnline đang phát tán trong các e-mail với tên tập tin đính kèm lôi cuốn và dễ nhầm lẫn. Tuy nhiên, trojan này cũng có thể được tải về bằng các chương trình độc hại khác, ví dụ như worm, backdoors, và phần mềm download trojan.

Khi Trojan này được người sử dụng kích hoạt, nó tự cài đặt vào hệ thống bằng cách sao chép tập tin của mình vào thư mục của Windows. Nó cũng tạo ra một key khởi động trong Registry cho tập tin sao chép. Điều này được thực hiện để đảm bảo rằng các file của Trojan được khởi động mỗi khi Windows khởi động. Key khởi động được tạo ra theo Registry sau:

• [HKLM\SoftWare\Microsoft\Windows\CurrentVersion\Run]

Sau khi cài đặt Trojan xác định vị trí tiến trình Explorer.exe, ẩn mình dưới dạng một DLL từ ổ cứng bị lây nhiễm các file .DLL vào trong tiến trình Windows Explorer.

Hoạt động

Để lấy dữ liệu nhạy cảm, W32/OnlineGames đọc bộ nhớ quá trình thực thi trò chơi nhất định, ví dụ WOW.EXE (World of Warcraft), ElementClient.exe (Perfect World), CabalMain.exe (Cabal Online). Các Trojan cũng có thể cố gắng để đọc các biến nhất định từ các tập tin cấu hình của trò chơi. Ví dụ, địa chỉ máy chủ game hiện tại có thể được đọc từ tập tin CurrentServer.ini. Một số biến thể của trojan có khả năng keylogging. Chúng theo dõi những gì một người dùng nhấn phím và gửi các bản ghi hoạt động bàn phím để một hacker có chủ ý.

Các thành phần gián điệp có chứa một URL được mã hóa sử dụng để gửi dữ liệu bị đánh cắp. Các dữ liệu bị đánh cắp được gửi đến một hacker bằng cách truy cập trang web chỉ định với một URL được xây dựng đặc biệt.

Các Trojan cố gắng kết nối với một địa chỉ IP được tạo mã hóa cứng, tạo một socket và gửi dữ liệu bị đánh cắp tới đó. Thông thường nhiều trong số những địa chỉ IP này được đăng ký tại Trung Quốc.

Một số biến thể cố gắng tắt cửa sổ quét virus. Ngoài ra, nếu một trình bắt lỗi hệ thống được phát hiện, Trojan sẽ cố gắng để ăn cắp dữ liệu. Một số chuỗi Trojan được hình thành bởi mã thực thi. Điều này được thực hiện nhằm giúp W32/OnlineGames qua mặt chương trình quét virus.

Trojan-PSW:W32/OnlineGames

Trojan-PSW:W32/OnlineGames

Trojan-PSW:W32/OnlineGames :: Comments