endurer 原创
2006-09-17 第1版
某政府网站和某中央企业的网站被挂魔兽网游盗号木马 一文中的魔兽网游盗号木马文件 s.exe采用Borland Delphi 6.0 - 7.0开发，文件大小为：125,952 字节。采用 nSPack 1.3 -＞ North Star/Liu Xing Ping 加壳后，文件长度变为31,190 字节。
把自身复制为：C:/Program Files/Internet Explorer/explorer.exe
在 [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run] 下创建键“msmsgs”，键值为：“C:/Program Files/Internet Explorer/explorer.exe”，以实现在开机启动。
木马运行后会枚举进程、枚举窗口、设置钩子、模拟键盘按键。
对
/----------
qq.exe
kpfw32.exe
WoW.exe
launcher.exe
Client.exe
----------/
等进程进行处理。
创建文件：C:/test.txt
将盗取的密码发到：
/----------
hxxp://www.***.why***all.com/wow****.asp
hxxp://www.***.why***all.com/j****h*.asp
----------/
Kaspersky 报为 Trojan-PSW.Win32.WOW.iq
