TrojanSpy.Qukart.a是一種針對Windows 9X/2000/XP/NT/Me系統的木馬病毒，主要通過偽造網頁誘導用戶輸入銀行密碼、賬戶等敏感信息實施竊取。該病毒在系統目錄生成aaladg32.dll（6,657位元組）和efleabgn.exe（46,592位元組）兩個關鍵檔案，並通過註冊表修改實現持久化運行，涉及ShellServiceObjectDelayLoad、CLSID等註冊表項的鍵值添加。病毒運行後會在臨時目錄生成.htm檔案誘導訪問特定URL，通過監控IE瀏覽器進程截取輸入的密碼信息。竊取數據通過dnkkq.dll等檔案暫存後，利用HTTP協定以查詢字元串形式傳送至攻擊者控制的站點，同時具備從伺服器下載附加數據並回傳的功能。
基本介紹
- 中文名：TrojanSpy.Qukart.a
- 病毒長度：46,592位元組6,657 位元組
- 病毒類型：木馬
- 影響平台：Win9X/2000/XP/NT/Me
基礎信息,傳播過程及特徵,
基礎信息
TrojanSpy.Qukart.a
危害等級：*
傳播過程及特徵
1.生成檔案：
%SystemDir%\aaladg32.dll, 6657位元組
%SystemDir%\efleabgn.exe, 46592位元組
2.修改註冊表：
/添加鍵值：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"Web Event Logger" = {79feacff-ffce-815e-a900-316290b5b738}
[HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32]
"(Default)" = "aaladg32.dll"
"ThreadingModel" = "Apartment"
[HKEY_CURRENT_USER\Software\Microsoft]
"QueenKarton" = 0xb
[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\BrowseNewProcess]
"BrowseNewProcess" = "yes"
/修改鍵值：
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\0]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\1]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\2]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\4]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\5]
"1601" = "0"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings]
"GlobalUserOffline" = "0"
3.生成多個%Temp%\<8個任意字元>.htm，並在IE中打開，導致訪問特定的URL。
4.從感染的計算機上收集密碼並從一些打開的IE界面中途截取信息。
5.在系統目錄下生成檔案保存密碼信息和下載的數據，檔案名稱為：
dnkkq.dll
kkq32.vxd
kkq32.dll
Rtdx1.dat
並將密碼信息傳送給攻擊者，通過HTTP傳送query string的方式，此外下載下來的數據將被上傳到特定的站點。
