病毒名称:
Trojan.MoFei.d.dll
类别： 木马病毒
病毒资料：
破坏方法：
病毒主功能模块
启动：
病毒执行后将释放下列文件到系统目录：
SCARDSVR32.EXE －－病毒自身
SCARDSVR32.DLL －－病毒主功能模块
MOFEI.CFG －－病毒配置信息
病毒修改注册表的旧式智能卡驱动程序来自启动，相应注册表键值为：
HKLM\SYSTEM\ControlSet001\Services
\SCardDrv\ImagePath
原来为:"％SystemRoot％\System32\SCardSvr.exe"
修改后为：％SYSDIR％\％CURFILE％ -v
病毒行为：
病毒执行后在后台运行，同时试图登陆服务器：
Google.ods.org 端口8080
google.ods.org 端口1080
windowsupdate.daemon.sh 端口8080
病毒能进行ip扫描，然后试图以下列用户名以自带的密码字典登陆扫描到的机器。
wachen
shhung
cesil
corden
smchou
rober
hychen
flora
cthsieh
admin
密码字典：
"12"，"123"，"1234"，"12345"，"123456"，"1234567"，"12345678" "654321"，"54321"，"fan@ing*"，"1"，"111"，"111111"，"11111111" "000000"，"00000000"，"888888"，"88888888"，"pass"，"passwd"，"passWord" "admin"，"root"，"secret"，"Oracle"，"super"，"security"，"stgzs"
如果登陆成功则复制文件到下列目录并试图启动病毒：
\\％s\ADMIN$\System32\Scardsvr32.exe
\\％s\ADMIN$\System32\MoFei.VER
\\％s\IPC$\System32\Scardsvr32.exe
\\％s\IPC$\System32\MoFei.VER
其中％s为IP地址
该病毒同时带有后门功能，可以记录键盘，终止进程，文件操作；
病毒也将收集下列信息：
free space
total space
volume ID
volume name
disk type
available physical memory
physical memory
processor type
IP address
computer name
它将添加用户“tsinternetuser”到管理员组，并将自己植入到IEXPLORER.EXE和LSASS.EXE中；
病毒还能够自动更新
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2003-6-11
