pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#1 盗号木马 Trojan-PSW.Win32.QQPass.fid（图）
病毒名称
Trojan-PSW.Win32.QQPass.fid
捕获时间
2007年8月7日
病毒症状
该木马程序运行后首先在C:\Program Files\Common Files下新建一个System文件夹，将自身复制到此文件夹下以及C:\Program Files\Common Files\Microsoft Shared目录下，分别重命名为hkjqype.exe和svrfaro.exe，利用命令行运行；在注册表启动项RUN中新建一名为nbwclmt的子项其值为“C:\Program Files\Common Files\Microsoft Shared\svrfaro.exe”，以达到木马开机自启动的目的；木马程序退出。
hkjqype.exe修改注册表项HKLM下的Image File Execution Options子项中新建多个项目，用映像劫持的手法使多种杀毒软件和安全工具无法运行；关闭自动更新，安全中心等多个WINDOWS服务；在除C盘以外的其他各个分区根目录下生成nbwclmt.exe和一个autorun.inf文件，试图利用自动播放功能触发木马程序运行；监视所有打开的窗体，强行关闭名称中含有“病毒”等字样的窗体。
到网络上下载多个木马文件并运行：1A1.exe，2B2.exe，……，10j10.exe，这几个进程相互配合运行，首先生成mycpri.dll并将mycpri.dll利用修改注册表项的方法注入到explorer进程中；将部分文件拷贝到%systemroot%目录下隐藏起来，同时在注册表启动项RUN中新建子项，实现开机自启动；自动删除部分文件。
当用户运行QQ时，1A1.exe会将mydpri.dll注入qq进程，并劫持它，伪造一个QQ的登陆界面，在用户输入密码后将其保存到systhecatmsg.txt中，然后通过接收网页将密码发送给黑客。
伪装的qq界面如图：
感染对象
Windows 98/Windows ME /Windows NT/ Windows 2000/ Windows XP
传播途径
网页挂马，文件捆绑
安全提示
已安装微点主动防御软件的用户，无论您是否已经升级到最新版本，微点主动防御都能够有效防御该木马程序。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您“发现未知木马”，请直接选择删除处理；如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现“Trojan-PSW.Win32.QQPass.fid”，请直接选择删除。
使用其它杀毒软件的用户，请尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。由于该病毒的特殊性，会导致某些杀毒软件无法运行，如果您的杀毒软件已经无法运行，您也可以尝试安装微点解决。
没有安装微点主动防御软件的用户，建议您尽快安装使用微点主动防御软件查杀预防各类新病毒。
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
