Win32.Troj.MirSock.b

Win32.Troj.MirSock.b是一種針對Windows系統的木馬病毒，別名TrojanDownloader.Win32.Small.hf[AVP]。該病毒通過偽裝成RAR壓縮檔誘導用戶運行，釋放惡意DLL檔案並篡改系統註冊表以實現長期駐留。其主要目標是竊取《傳奇》遊戲的賬號密碼。

病毒運行後會在系統目錄釋放ws2_64.dll檔案，並通過修改註冊表服務項替換原有網路通信組件。具體行為包括：將WinSock2相關服務的路徑指向惡意DLL檔案，清空多個協定目錄的註冊表鍵值。通過劫持Sock函式接口，實時截獲網路數據包並分析其中包含的《傳奇》遊戲賬號信息，最終實現密碼竊取功能。攻擊流程涉及檔案釋放、註冊表篡改、網路通信劫持等多個階段。

基本介紹

• 外文名：Win32.Troj.MirSock.b
• 威脅級別：★★
• 病毒類型：木馬
• 影響系統：Win98/WinNT

病毒別名

TrojanDownloader.Win32.Small.hf[AVP]

病毒行為

該病毒偽裝成一個rar壓縮檔，一旦運行之後將釋放一個DLL檔案，然後修改註冊表替換掉系統通信的DLL檔案，截獲並分析用戶的傳奇數據包，從而竊取用戶的傳奇賬號和密碼。

1.釋放檔案：%system%\ws2_64.dll（Win32.Troj.Pasorot.k）。

2.修改註冊表。

修改鍵值：

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\WinSock\

"1001"="%SystemRoot%\system32\msafd.dll"

"1002"="%SystemRoot%\system32\msafd.dll"

"1003"="%SystemRoot%\system32\msafd.dll"

"1004"="%SystemRoot%\system32\rsvpsp.dll"

"1005"="%SystemRoot%\system32\rsvpsp.dll"

"PathName"="C:\WINNT\System32\ws2_64.dll"

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001\

"PackedCatalogItem"="<%system%\ws2_64.dll...>"

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002\

"PackedCatalogItem"="<%system%\ws2_64.dll...>"

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003\

"PackedCatalogItem"="<%system%\ws2_64.dll...>"

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004\

"PackedCatalogItem"="<%system%\ws2_64.dll...>"

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005\

"PackedCatalogItem"="<%system%\ws2_64.dll...>"

3.通過將Sock函式對應的DLL替換成ws2_64.dll，截取數據包。然後分析數據包中的傳奇密碼數據修改用戶傳奇密碼。