Win32.Troj.Dumador.ai

簡介

病毒別名：

處理時間：

病毒行為:

編寫工具:

fsg壓縮

傳染條件:

偽裝成有用的工具誘使用戶下載運行

這是一個偷取各種賬號密碼和銀行賬號的木馬，當用戶訪問特定頁面時，該木馬就會記錄用戶的鍵盤記錄並將記錄的結果通過Email傳送給攻擊者。

1，拷貝自身到：

%System%Swchost.exe

%System%Svohost.exe

%Startup%Svchost.exe

2，建立下列檔案：

%Windir%Rundlln.sys

%Windir%Prntsvr.dll

%Windir%Tempfeff35a0.htm

%Windir%Tempfe43e701.htm

%Windir%Tempfa4537ef.tmp

3，向註冊表添加：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

"load32"="%System%swchost.exe"

4，添加

HKEY_LOCAL_MACHINESOFTWARESARS

HKEY_USERS.DEFAULTSOFTWARESARS

作為感染標記

5，建立%Windir%Prntsvr.dll用來hook鍵盤訊息以便記錄

6，修改

HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogon

"explorer.exe"

為：

"explorer.exe %System%svohost.exe"

7，修改 %Windir%System.ini檔案中

"Shell"="Explorer.exe"

為：

"Shell"="explorer.exe %System%svohost.exe"

8，當用戶訪問http:/ /www.whatpornsite.com/css/logger.php頁面時，將會開始記錄賬號密碼