病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
165969
影响系统:
Win9xWin2000WinXP
病毒行为:
该木马是网络游戏<魔域>和<浩方对战平台>的盗号木马.病毒运送行后会衍生病毒文件至系统目录下,并创建服务以达到自启动的目的.
1.生成文件:
%Windir%\TIMHost.exe
%Windir%\system32\SVKP.sys
%Windir%\system32\TIMHost.dll
2.添加注册表,生成启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
TIMHost="%Windir%\TIMHost.exe"
3.创建服务:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
Type=dword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
Start=dword:00000002
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
ErrorControl=dword:00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
ImagePath=hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c,53,56,4b,50,2e,73,79,73,00,
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SVKP
DisplayName="SVKP"
4.病毒运行后会把DLL文件加载到非系统进程当中.
5.病毒利用读取内存的方式盗取用户的账号信息,并通过网页提交的方式把相关信息发送到以下的网址:
"http://fy2.so*****.com/j****lin.asp"
"http://www.x*****520.com/zhanggui3/lin1.asp"
"http://jt1.so*****.com/cchh/lin.asp"
