病毒别名：
处理时间：2005-08-14
威胁级别：★
中文名称：闪盘窃密者
病毒类型：黑客程序
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒是一个木马生成器测试版，根据用户选择生成注入不同进程(explorer.exe或winlogon.exe)的木马thief.exe，运行thief.exe，首先拷贝自身到%system%inetsvr.exe，然后生成临时文件boot.inf，并安装服务，伪装成"Windows Internet Service"，随开机启动(FDTDLL.dll注入器)；然后在当前目录生成系统隐藏属性的木马FDTDLL.dll，并将FDTDLL.dll注入到explorer.exe或winlogon.exe进程，FDTDLL.dll创建两个线程，一个用来不停地执行删除thief.exe文件，造成了资源的极大浪费；另一个线程监视闪盘，并将里面的文件复制到指定文件夹(测试版为c:est)。
1，生成木马
%当前目录%hief.exe
2，木马thief.exe生成文件
%system%inetsvr.exe
%当前目录%FDTDLL.dll
3，使用服务技术使得木马开机启动
c:oot.inf，临时文件，安装服务后删除。
内容为：
[Version]
Signature="$WINDOWS NT$"
[DefaultInstall.Services]
AddService=inetsvr,,My_AddService_Name
[My_AddService_Name]
DisplayName=Windows Internet Service
Description=提供对 Internet 信息服务管理的支持.
ServiceType=0x10
StartType=2
ErrorControl=0
ServiceBinary=%11%inetsvr.exe]
4，使用注入进程技术
注入explorer.exe或winlogon.exe进程，生成木马时可选择
5，监控闪盘，盗取文件
存入指定文件夹，测试版为c:est。