“魔兽地狱烈焰盗号者”(PE.Win32.PSWTroj.OnLineGames.90112)是一个针对网游《魔兽世界》盗号木马程序。它会关闭杀毒软件卡巴斯基的进程，然后盗取电脑上网络游戏《魔兽世界》的账号信息。为阻止用户查杀，它还注入系统关键进程中运行，造成直接关闭进程时系统运行可能出现异常。

病毒名称(中文)：魔兽地狱烈焰盗号者

威胁级别：★★☆☆☆

病毒类型：偷密码的木马

病毒长度：90112

影响系统：Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为：

这是一个针对网游《魔兽世界》盗号木马程序。它会关闭杀毒软件卡巴斯基的进程，然后盗取电脑上网络游戏《魔兽世界》的账号信息。为阻止用户查杀，它还注入系统关键进程中运行，造成直接关闭进程时系统运行可能出现异常。

1.程序运行后，修改文件

%windows%win.ini

添加新节

[cqit]

cqit=msoscqit00.dll

便于用cqit代替病毒文件，免得用户怀疑。

2.创建批处理程序，将自己的源文件删除，避免被用户发现。

3.在注册表中添加了注册项，注册为服务，设为自启动，如下：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\fpids32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
项名：AppInit_DLLs "" 值：hex(2):6d,73,6f,73,63,71,69,74,30,30,2e,64,6c,6c,00即msoscqit00.dll

4.将生成的文件msoscqit00.dll用cqit名注入系统进程services.exe中，搜索魔兽世界的进程，枚举窗口名，查找是否有名字为msos的游戏窗口。一旦发现目标，病毒就会通过内存读写的方式窃取玩家的账号信息，并将其发送到木马作者指定的多个远程服务器。

关注天下网吧微信,了解网吧网咖经营管理，安装维护: