Win32.Troj.VB.cp是一個生成盜取按鍵信息的病毒生成器。
基本介紹
- 外文名：Win32.Troj.VB.cp
- 威脅級別：★★
- 病毒類型：木馬
- 影響系統：Win9x / WinNT
病毒行為,傳播過程,
病毒行為
Win32.Troj.VB.cp通過將自身的一部分綁定到正常程式上生成的新病毒。生成的新病毒外觀上也正常程式一樣。生成的病毒會釋放病毒檔案並運行，然後在運行正常的程式，給用戶一種錯覺。病毒運行後將盜取用戶的按鍵信息傳送到指定的雅虎信箱。
傳播過程
該病毒生成器生成的病毒檔案：
1.會釋放檔案%system%\fixapi.exe，%system%\rsn.exe，%system%\hotkey.exe，並運行。
2.修改註冊表，創建自啟動服務mysvc。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mysvc
"Description"="Collects extra data from local or remote computers based on preconfigured schedule parameters, then writes the data to a log or triggers an alert. If this service is stopped, extra information will not be collected. If this service is disabled, any services that explicitly depend on it will fail to start."
"DisplayName"="Extra Logs and Alerts"
"ErrorControl"=dword:00000001
"ImagePath"="%system%\rsn.exe"
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000010
HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\\
"StubPath"="%system%\fixapi.exe"
其中還可能為：
3.記錄用戶的按鍵信息以及登入信息，保存在%system%\kbdmy.dll，當檔案大小達到一定大小，就將保存在檔案中的按鍵信息傳送給指定的雅虎信箱。
刪除其實很簡單先結束RSN。EXE進程
然後找到進程的目錄刪除掉
在建立與它相同名字的資料夾
這樣的話。。哈哈不用我說了吧！！
