病毒名称(中文):
奇侠盗号木马232960
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
232960
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是个盗号木马。针对目标是网络游戏《奇侠》的帐号密码信息。病毒为对抗杀毒软件,设置有一些无用字符串,试图干扰查杀。
1.病毒首先判定自身是否是在explorer.exe进程中,读取当前目录下的同名log文件(该文件由exe木马释放),读取保存在log文件中的信息,然后删除该log文件。
2.病毒代码中存在一些无用字符串,可能是想引诱杀软的特征定位在这些字符上。
3.新建线程加载自身dll,然后调用木马自身的输出函数sdfrrg,这个函数会设置键盘消息,鼠标消息等钩子,全面监视系统。
4.这个家族系列木马各有分工,分别针对不同网络游戏,本样本主要是窃取网络游戏《奇侠》用户的帐号,得手后将其发送到先前保存在同名log文件中的收信地址。