Win32.Troj.Qukart.ge是木馬病毒。
基本介紹
- 中文名：盜密專家
- 外文名：Win32.Troj.Qukart.ge
- 別名：TrojanSpy.Win32.Qukart.gen[AVP]
- 病毒類型：木馬
- 影響系統：WinNT/Win2K/WinXP/Win2003
- 威脅級別：★★
病毒行為
編寫工具:
傳染條件:
發作條件:
系統修改:
A、將自身複製到："%System%<隨機檔案名稱>.exe"
釋放出一個DLL："%System%<隨機檔案名稱>.dll"
B、在註冊表主鍵HKEY_CLASSES_ROOTCLSID{79FEACFF-FFCE-815E-A900-316290B5B738}InProcServer32下添加鍵值：
"(默認)" = "%System%<隨機檔案名稱>.dll"
"ThreadingModel" = "Apartment"
在註冊表主鍵HKEY_CURRENT_USERSoftwareMicrosoft下新建鍵值：
"QueenKarton" = dword:0000000d
在註冊表主鍵HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad下添加鍵值：
"Web Event Logger" = "{79FEACFF-FFCE-815E-A900-316290B5B738}"
C、將註冊表主鍵：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternet Settingsones
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternet Settingsones1
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternet Settingsones2
下的
"1601" = dword:0 (默認)
和
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternet Settingsones3
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionInternet Settingsones4
下的
"1601" = dword:1 (默認)
都設為：
"1601" = dword:0
將註冊表主鍵HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet Settings下的
設定為
"GlobalUserOffline" = dword:0
在註冊表主鍵HKEY_USERS.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowseNewProcess下添加鍵值：
"BrowseNewProcess" = "yes"
D、可能會創建如下檔案來保存收集到的信息及下載的配置信息：
"%System%dnkkq.dll"
"%System%kkq32.vxd"
"%System%kkq32.dll"
"%System%Rtdx1<數字>.dat"
發作現象:
收集計算機的密碼信息，通過http請求傳送到指定網頁。並可以自動更新。
特別說明:
