木马PSW.Win32.OnLineGames.kuu分析

　　网络行为:

　　该病毒将盗取的游戏账号与密码发送到以下地址：

　　加密前：

CE382424206A7F7F2727277E27313E3431687E333F3D7F242836353E3729257F203F23247E312320

　　解密后：

　　http://www.wanda8.com/txfengyu/post.asp

　　注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　%Temp% = C:Documents and SettingsAAAAALocal SettingsTemp 当前用户TEMP缓存变量

　　%Windir% WINDODWS所在目录

　　%DriveLetter% 逻辑驱动器根目录

　　%ProgramFiles% 系统程序默认安装目录

　　%HomeDrive% = C: 当前启动的系统的所在分区

　　%Documents and Settings% 当前用户文档根目录

　　代码分析：

　　创建注册表CLSID值：

　　衍生病毒文件enfeafx.fon到系统目录%system32%下：

　　将ECX的值写入enfeafx.fon中：

：

　　衍生病毒文件kafyjzy.dll到系统目录%system32%下：