Win32.PSWTroj.Nilage.69632

2008-08-14 23:07:08  編輯來源:互聯網  简体版  手機版  評論  字體: 小|中|大

 

　　病毒名称(中文):

　　时光机盗号器69632

　　病毒别名:

　　

　　

　　威胁级别:

　　★☆☆☆☆

　　病毒类型:

　　偷密码的木马

　　病毒长度:

　　69632

　　影响系统:

　　Win9xWinMeWinNTWin2000WinXPWin2003

　　

　　病毒行为:

　　这是一个盗号木马程序。该程序会修改系统时间来关闭依靠系统时间进行激活和升级的杀毒软件，然后展开全局监视，记录下用户输入的各类敏感信息。

　　1.程序运行后，生成文件

　　%WINDOWS%\system32\monb32drv.dll

　　文件名的第一个和第四个字母是变化的。

　　释放das.bat

　　:try

　　del"C:\DocumentsandSettings\user\桌面\test.exe"

　　ifexist"C:\DocumentsandSettings\user\桌面\test.exe"gototry

　　del%0

　　exit

　　2.在注册表中添加了注册项，如下：

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

　　注册表名称:{D60A0B68-EF3A-A1D2-FD09-3A81A121D2B1}

　　3.删除文件：%system32%\drivers\etc\Hosts，避免被屏蔽一些网站

　　4.木马会修改系统时间，来逃避杀软，打开互斥量，寻找全局原子变量，用来判定是否已经有木马在运行；若没有则会创建文件，

　　调用monb32drv.dll中的函数开始工作。

　　5.木马会安装全局钩子：钩子类型:WH_GETMESSAGE，监视所有的消息，从而盗取用户的一些私人敏感信息信息。

 

 

 

病毒名称(中文): 时光机盗号器69632 病毒别名: 威胁级别: ★☆☆☆☆ 病毒类型: 偷密码的木马 病毒长度: 69632 影响系统: Win9xWinMeWinNTWin2000WinXPWin2003 病毒行为: 这是一个盗号木马程序。该程序会修改系统时间来关闭依靠系统时间进行激活和升级的杀毒软件，然后展开全局监视，记录下用户输入的各类敏感信息。 1.程序运行后，生成文件 %WINDOWS%\system32\monb32drv.dll 文件名的第一个和第四个字母是变化的。 释放das.bat :try del"C:\DocumentsandSettings\user\桌面\test.exe" ifexist"C:\DocumentsandSettings\user\桌面\test.exe"gototry del%0 exit 2.在注册表中添加了注册项，如下： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks 注册表名称:{D60A0B68-EF3A-A1D2-FD09-3A81A121D2B1} 3.删除文件：%system32%\drivers\etc\Hosts，避免被屏蔽一些网站 4.木马会修改系统时间，来逃避杀软，打开互斥量，寻找全局原子变量，用来判定是否已经有木马在运行；若没有则会创建文件， 调用monb32drv.dll中的函数开始工作。 5.木马会安装全局钩子：钩子类型:WH_GETMESSAGE，监视所有的消息，从而盗取用户的一些私人敏感信息信息。