Win32.Troj.Banker.aw

病毒分析

處理時間：2005-09-27

威脅級別：★

病毒類型：木馬

病毒行為

1. 病毒首先將自身複製到%Windir%目錄下，然後在註冊表添加啟動項，以實現開機自啟：

[HKCU\Software\Microsoft\CurrentVersion\Run]

"Ole" = "%WinDir%\病毒檔案名稱"

2. 接著病毒對自身路徑進行判斷，如果不是位於%WinDir%目錄下，病毒將運行複製到

%WinDir%目錄下的病毒體，然後退出；如果病毒位於%WinDir%目錄下，病毒將繼續

運行。病毒通過這種方法保證系統中只會有一個病毒進程在運行。

3. 首先病毒利用Protected Storage服務獲取本地機器的各種密碼，包括：

Outlook 密碼

Outlook帳號密碼

IE 密碼保存站點密碼

MSN登入密碼

IE 自動保存密碼

4. 然後病毒清楚Cookie，以便下次用戶登錄時，不得不輸入密碼，這樣病毒就可以通

過監控鍵盤記錄，獲取密碼信息。

5. 接著，病毒有釋放名為MS_DLL.dll動態程式庫檔案，並調用其中的鉤子函式，對運

行視窗進行監控，當視窗為以下名字時，病毒就開始進行鍵盤監控：

Citi

Charter

Registered Users

Charter - Home

Welcome to GCI.net, Alaska,27h,s Internet

Web Mail Login

COX.net for

Cox High Speed Internet WebMail

Login

Total Access

Screen Name Sign In

AOL.com

SIGN IN - Comcast.net

Member Identification

Welcome To Patriot Media

Patriot Media

TDSMAIL

TDS Internet Services - Manage Your Internet Account

Welcome to TDS: High-Speed DSL, Dial-up and Internet Services

AT&T Worldnet Login

BellSouth - Web E-mail

SusCom Start Page - Home

Win32.Troj.Banker.aw

基本介紹

病毒分析

病毒行為

相關詞條

熱門詞條