Trojan/Agent.bq

基本信息

2006年6月11日，國內首例旨在敲詐被感染用戶錢財的木馬病毒被江民公司反病毒中心率先截獲。江民反病毒中心已接到感染該木馬不同變種的用戶報告。

江民反病毒專家介紹，“敲詐者”木馬運行後，在系統目錄下將自身複製為redplus.exe，大小200KB左右。建立捷徑"開始選單\所有程式\附屬檔案\修復硬碟資料"，並指向病毒程式。

行為分析

病毒為了達到敲詐的目的，還會生成一名為“拯救硬碟.txt”的文本檔案，內容如下：

"

1. 你的硬碟資料丟失了，是因為手機的強電磁流影響了硬碟的正常讀寫

2. 你必須使用磁碟修復工具拯救找回丟失的資料檔案

3. 但是，你正在使用的不是正版軟體，是盜版

4. 你必須拯救修復丟失的資料，並且儘快購買正版的軟體，

5. 點擊左下角 [ 開始 ], 點擊 [ 所有程式 ], 點擊 [ 附屬檔案 ], 點擊 [ 修復硬碟資料 ]

6. 為了確保你能儘快修復全部資料，必須在兩小時內迅速辦理,

7. 按以上方法做的，一定能修復的資料包括:

[被隱藏的檔案名稱稱]

"

病毒同時在“開始選單\所有程式\啟動”選單下建立指向“拯救硬碟.txt”的捷徑，這樣每次系統啟動，用戶都會看到上述文本內容。

如果中毒用戶用戶按照"拯救磁碟.txt"中描述的步驟，運行病毒檔案redplus.exe後，則顯示如圖所示的敲詐文字，內容大致為要求中毒用戶向某指定的工行賬戶內匯入70元人民幣，並向指定的手機號碼傳送相關簡訊。

該木馬運行時，還會試圖結束除幾個系統進程外的所有程式，達到終止反病毒軟體和病毒分析工具的目的。

江民反病毒專家介紹說，前幾個月，國外曾經出現過一系列對用戶文檔加密後進行敲詐的惡意木馬，但在國內沒有感染報告。此次被截獲的“敲詐者”（Trojan/Agent.bq）可以確定為國內首例旨在敲詐勒索錢財的病毒，該病毒疑為國內作者製造，並專門針對中文用戶。

6月15日，繼近日國內率先截獲首例“敲詐者”病毒後，江民科技反病毒中心宣布成功截獲該病毒的兩個新變種（TrojanSpy.Agent.br、 TrojanSpy.Agent.bs）。與原病毒不同的是，新變種通過鎖定鍵值表的方法來隱藏用戶常用檔案，較原先修改資料夾屬性隱藏的方式技術上有了改進，加大了中毒用戶手工找回被隱藏檔案的難度。

江民反病毒專家介紹，敲詐者病毒變種有兩個版本，TrojanSpy.Agent.br中毒後顯示症狀與原病毒基本相同，不過病毒作者在隱藏檔案技術上進行了改動，把原先通過屬性隱藏資料夾的方法改為鎖定註冊表隱藏檔案，這顯然加大了普通用戶手工清除病毒的難度。敲詐者另一變種BS中毒後顯示為“新曦資料庫”軟體界面，敲詐手段基本相同，都要求中毒後向某賬戶打入錢購買破解密碼。據反病毒工程師追蹤發現，兩變種疑係一人所為，前一病毒作者的網名為“俊曦”，除名子相似外，病毒關鍵特徵碼也有相同之處。

Trojan/Agent.bq

基本介紹

基本信息

行為分析

相關詞條

熱門詞條