本病毒所有命名：

影响系统：
Win9x,WinMe,Linux

简介：
1.释放文件c:Program Filesinell.exe并运行，修改hosts文件屏蔽部分木马下载站点，达到黑吃黑的目的。 2.inell.exe运行后释放文件到系统目录下

行为分析：
这是个网游盗号木马。它会盗取网络游戏《梦幻西游》的帐号。为了躲避杀毒软件的查杀，病毒作者通过加壳加花指令进行免杀处理。并且，他为了独占从用户机器所窃取的信息，还会破坏其它木马下载器的正常运行。

描述：
1.释放文件c:Program Filesinell.exe并运行，修改hosts文件屏蔽部分木马下载站点，达到黑吃黑的目的。



2.inell.exe运行后释放文件到系统目录下

x:windowssystem32HBKrnl.dll，木马窃取信息的任务由这个驻留系统的dl来完成。



3.通过RUNDLL32.exe注册病毒释放的HBKrnl.dll，HBKrnl.dll在目录下释放驱动x:windowssystem32driversHBKernel.sys,创建服务HBKrnl来加载HBKernel.sys。



4.病毒在注册表中创建启动项，每次系统启动时将加载该dll；

HKLMsoftwaremicrosoftwindowscurrentversion
un,"hb Kernel"=

RUNDLL32.EXE C:WINDOWSSystem32HBKrnl.dll,DllRegisterServer；



5.病毒检测系统内是否存在my.exe进程，监控梦幻西游文件mhmain.dll是否处于活动状态，如发现处于活动状态则关闭游戏进程，用户重新进入游戏时记录帐号密码等信息，窃取成功后发送到以下地址：

http://mail.h***yukuai.com/mh/mh666666f/ylin.asp

http://www.6***q2.cn/lling005/mdb5postasp.asp

http://www.6***h1.cn/mdb5postasp.asp

http://www.6***h2.cn/mdb5postasp.asp

病毒作者试图玩个幽默，写入“合作愉快”，但错打为hezuoyuku。



6.病毒原文件释放一个删除自身的bat文件，运行bat文件清除病毒痕迹。