TrojanSpy.Banker.ag

病毒长度：31,232 字节, 6,144 字节, 8,192 字节可变

病毒类型：木马

影响平台：Win9X/2000/NT/Me

TrojanSpy.Banker.ag是一个可以记录键盘操作的木马程序，包含在一个垃圾邮件的附件中的。可以伴随一个代理服务程序。

传播过程及特征：

1.生成文件：

%Windir%MSTO32.DLL

%Windir%\%File1%

%Windir%SYSINI.INI

%System%\%File2%

%System%\%File3%

%Windir%msrt32.dll

%Windir%dorta32.dll

2修改注册表：

/在系统注册表启动项下添加键值：

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]

"Online Service"="%Windir%\%File1%..."

"Onlune Sarvice"="%Windir%sachost.exe"

/为了达到更改IE默认页，修改键值；

[HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain]

Start Page 修改为：

strawberries.teenfestival.com?alla.html

realgirltgp.virgin-paradize.com/warn.html

strawberries.teensfestival.com/search2.html

3.打开10002端口并从网站下载木马的升级文件，如果成功则以Surte.exe文件名保存到系统目录然后执行。

4.记录键击，并将记录的信息通过SMTP发送给攻击者，也可以将其发送到固定的FTP网站。

注：%Windir%为变量，一般为C:Windows 或 C:Winnt；

%System%为变量，一般为C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000),

或 C:WindowsSystem32 (Windows XP)。