Win32.Troj.PowerSpider.f

影響系統

Win9x / WinNT

1。拷貝自己到%system32%\comime.exe，並同時釋放一個動態庫msinthk.dll在該目錄下

2。添加系統啟動項

HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\CurrentVersion\Run“mssysint”=comime.exe

3。系統中的病毒運行後，釋放“msinthk.dll”，通過該動態連線庫提供的“AddHook”、“DelHook”掛接全局訊息鉤子，截取用戶的各種輸入。從中取得用戶的各種密碼。

4。通過CreateFileMappingA創建PwdBox和PowerSpider來保證只有一個實例在運行

5。通過”傳送信件。

這個病毒對傳送的郵件中的信息進行了加密，如果沒有密碼，不能看到其中的信息。

6。病毒會去更新自己的版本

此病毒為蠕蟲病毒，通過線上QQ傳送病毒檔案。病毒運行後會從黑客網站下載另一病毒（Backdoor/Jieba.2004），後者可以捕獲Win9x/Win2k/WinXp下的幾乎所有普通視窗的登錄密碼，如： OICQ/QQ,ICQ,Outlook,

Foxmail，電子信箱，網咖上網賬號，軟體註冊碼、各種遊戲軟體，各種財務軟體，各種管理軟體，撥接，已分享資料夾，屏保等等，以及各種在網頁的登錄密碼，如： Web郵件，江湖論壇，聊天室，密碼保護資料等。

⑴ 如果病毒被執行，會生成以下檔案，其存路徑為：

病毒運行後，將創建下列檔案：

%SystemDir%\wbem\dhelp.dll,20480位元組

%SystemDir%\dhelp.dll,20480位元組

%SystemDir%\wmimgr.exe,20480位元組

⑵ 從黑客網站下載Backdoor/Jieba.2004並保存為：

%SystemDir%\comime.exe,49576位元組

%SystemDir%\msinthk.dll,6656位元組

⑶ 在註冊表中添加下列啟動項：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"mssysint" = comime.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]