病毒名称(中文):
闪盘窃密者
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
黑客程序
病毒长度:
106496
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是一个木马生成器测试版，根据用户选择生成注入不同进程(explorer.exe或winlogon.exe)的木马thief.exe，运行thief.exe，首先拷贝自身到%system%\inetsvr.exe，然后生成临时文件boot.inf，并安装服务，伪装成"WindowsInternetService"，随开机启动(FDTDLL.dll注入器)；然后在当前目录生成系统隐藏属性的木马FDTDLL.dll，并将FDTDLL.dll注入到explorer.exe或winlogon.exe进程，FDTDLL.dll创建两个线程，一个用来不停地执行删除thief.exe文件，造成了资源的极大浪费；另一个线程监视闪盘，并将里面的文件复制到指定文件夹(测试版为c:\test\)。
1，生成木马
%当前目录%\thief.exe
2，木马thief.exe生成文件
%system%\inetsvr.exe
%当前目录%\FDTDLL.dll
3，使用服务技术使得木马开机启动
c:\boot.inf，临时文件，安装服务后删除。
内容为：
[Version]
Signature="$WINDOWSNT$"
[DefaultInstall.Services]
AddService=inetsvr,,My_AddService_Name
[My_AddService_Name]
DisplayName=WindowsInternetService
Description=提供对Internet信息服务治理的支持.
ServiceType=0x10
StartType=2
ErrorControl=0
ServiceBinary=%11%\inetsvr.exe]
4，使用注入进程技术
注入explorer.exe或winlogon.exe进程，生成木马时可选择
5，监控闪盘，盗取文件
存入指定文件夹，测试版为c:\test\。