木馬樣本行為概覽

「酷獅子」系列各變種行為一致：含一 EXE 檔，能釋放 DLL 到 Windows 目錄。

加載流程

1. 自我複製到 Windows 目錄，釋放 DLL 到 Windows 目錄。
2. 檢查當前運行目錄：
   　　- 網遊目錄：先啟動網遊客戶端，再運行剛複製到 Windows 的程式。
   　　- Windows 目錄：載入 DLL 部分，進入等待狀態。DLL 盜號成功後，盜號 EXE 結束。
3. 若非上述目錄，木馬查找目標網遊目錄並執行改名偽裝：

• WOW： WOW.EXE → W0W.EXE（隱藏+系統屬性），木馬改名為 WOW.EXE。
• 熱血江湖： launcher.exe → launchar.exe（隱藏+系統屬性），木馬改名為 launcher.exe。
• 完美世界/武林外傳/誅仙（同客戶端）： elementclient.exe → elemontclient.exe（隱藏+系統屬性），木馬改名為 elementclient.exe。

註：無檔案保護功能，網遊更新客戶端時木馬會被清除。

盜號機制

在固定偏移讀取遊戲關鍵記憶體資料，破解記憶體資訊取得用戶帳密。因固定偏移，遊戲程式版本變動即導致盜號失敗。

資料回傳格式

接收盜號資訊的網址各異，但參數相同：

User=用戶名&pass=密碼&ser=伺服器名_網路連線&cangku=倉庫密碼
&beizhu=備註&rw=等級&pcname=電腦名

樣本中的有趣字串

• 誅仙盜號中發現 cctvtvtvtvtD（CCTV 粉絲？）
• 完美世界盜號中發現「真情告白」：
  ZHUZHUHENKEAI
ZHUZHUSHITOUZHU
WOLAOPOSHIDABENZHUHAHA
• 另一完美世界盜號發現：
  QUANTIKEHUHAHAHAHAHAFDSFDSFSDF（「全體客戶」指用戶？）