|
病毒名称(中文):神泣盗号木马102456病毒别名:威胁级别:★☆☆☆☆病毒类型:偷密码的木马病毒长度:102456影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是网络游戏《神泣》的盗号木马。它拥有较多的变种，运行后会修改注册表，实现自动启动，然后盗取账号信息，并通过网页提交的方式发送到木马种植者手上。
1.生成文件.
%sys32dir%aitlasys.exe
%sys32dir%fstlbsys.sys
%sys32dir%zptlcsys.dll
2.修改注册表生成启动项
HKEY_CLASSES_ROOTCLSID{50940F85-F015-14F1-A05F-F69858AC6D05}
HKEY_CLASSES_ROOTCLSID{50940F85-F015-14F1-A05F-F69858AC6D05}InprocServer32
HKEY_CLASSES_ROOTCLSID{50940F85-F015-14F1-A05F-F69858AC6D05}InprocServer32@"C:WINDOWSsystem32zptlcsys.dll"
HKEY_CLASSES_ROOTCLSID{50940F85-F015-14F1-A05F-F69858AC6D05}InprocServer32ThreadingModel"Apartment"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks{50940F85-F015-14F1-A05F-F69858AC6D05}"zptlcsys.dll"
3.还会生成其他的注册表键
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowserHelperObjects
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowserHelperObjects{50940F85-F015-14F1-A05F-F69858AC6D05}
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowserHelperObjects{50940F85-F015-14F1-A05F-F69858AC6D05}@"zptlcsys.dll"
4.病毒运行后会把dll文件注入到进程当中.
5.病毒运行后会删除病毒源文件.
6.病毒会把盗取得到的账号和密码通过网页提交的方式发送到以下网络地址:
http://www.********.com/11ZZZTT/post.asp
|
