病毒名称(中文):
盗密专家
病毒别名:
TrojanSpy.Win32.Qukart.gen[AVP]
威胁级别:
★★☆☆☆
病毒类型:
木马程序
病毒长度:
46080
影响系统:
Win9xWinNTWin2000WinXPWin2003
病毒行为:
编写工具:
传染条件:
发作条件:
系统修改:
A、将自身复制到："%System%<随机文件名>.exe"
释放出一个DLL："%System%<随机文件名>.dll"
B、在注册表主键HKEY_CLASSES_ROOTCLSID{79FEACFF-FFCE-815E-A900-316290B5B738}InProcServer32下添加键值：
"(默认)"="%System%<随机文件名>.dll"
"ThreadingModel"="Apartment"
在注册表主键HKEY_CURRENT_USERSoftwareMicrosoft下新建键值：
"QueenKarton"=dword:0000000d
在注册表主键HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad下添加键值：
"WebEventLogger"="{79FEACFF-FFCE-815E-A900-316290B5B738}"
C、将注册表主键：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternetSettingsones
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternetSettingsones1
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternetSettingsones2
下的
"1601"=dword:0(默认)
和
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternetSettingsones3
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternetSettingsones4
下的
"1601"=dword:1(默认)
都设为：
"1601"=dword:0
将注册表主键HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternetSettings下的
设置为
"GlobalUserOffline"=dword:0
在注册表主键HKEY_USERS.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowseNewProcess下添加键值：
"BrowseNewProcess"="yes"
D、可能会创建如下文件来保存收集到的信息及下载的配置信息：
"%System%dnkkq.dll"
"%System%kkq32.vxd"
"%System%kkq32.dll"
"%System%Rtdx1<数字>.dat"
发作现象:
收集计算机的密码信息，通过http请求发送到指定网页。并可以自动更新。
非凡说明:
