科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道小心QQ幻想盗号木马 伏特加感染下载器

小心QQ幻想盗号木马 伏特加感染下载器

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

“QQ幻想盗号木马65697”利用感染可执行文件来进行传播,通过读取内存的方式盗窃游戏帐号,然后发给木马作者。它还会搜索并关闭杀毒软件卡巴斯基和瑞星。

作者:佚名 来源:中关村在线 2008年4月28日

关键字: 卡巴斯基 卡巴斯基升级

  • 评论
  • 分享微博
  • 分享邮件

  “QQ幻想盗号木马65697”(Win32.Troj.OnlineGameT.bd.65697),这是一个针对网络游戏《QQ幻想》的盗号木马程序。它利用感染可执行文件来进行传播,通过读取内存的方式盗窃游戏帐号,然后发给木马作者。它还会搜索并关闭杀毒软件卡巴斯基和瑞星。

  “伏特加感染下载器81920”(Win32.TrojDownloader.Delf.81920),该病毒是一个下载器程序。它会修改系统时间,导致卡巴斯基等依赖系统时间进行激活和升级的杀毒软件失效。然后利用IE浏览器的进程执行病毒下载。该毒利用感染可执行文件的方法进行传播,当用户启动被感染文件时,病毒就会发作,搜寻全部磁盘分区中的可执行文件进行感染。

  一、“QQ幻想盗号木马65697”(Win32.Troj.OnlineGameT.bd.65697) 威胁级别:★★

  这是个具备一定对抗杀软能力的网游盗号木马。它在进入系统后,会立即抢先搜索卡巴斯基的警告窗口和瑞星的注册表监控提示窗口,防止卡巴和瑞星向用户报告系统异常。此后,它每隔1毫秒的时间,就重复一次搜索,确保卡巴和瑞星永远都无法向用户发出警告。

  与此同时,该毒会在系统中释放出两个病毒文件,分别为%WINDOWS%目录下的病毒主文件mfchlp.exe,以及%WINDOWS%\system32\目录下负责盗号的mfchlp.dll。前者会被写入系统注册表,以实现开机自启动,而后者则负责注入系统桌面进程explorer.exe,查找网络游戏《QQ幻想》的进程。

  Mfchlp.dll会试图通过全局监视程序,注入到所有进程中,通过读取它们的相关函数来找到《QQ幻想》的进程文件qqffo.exe,读写其内存,获取网络游戏账号和密码以及其它私人信息,然后通过网络收信空间发给木马作者,给用户造成虚拟财产的损失。

  二、“伏特加感染下载器81920”(Win32.TrojDownloader.Delf.81920) 威胁级别:★★

  这个盗号木马同样具备一定的对抗杀软能力。它进入系统后会先检测用户电脑里是否有杀毒软件“卡巴斯基”,如果有,便通过修改系统时间为1984年的办法,让依赖系统时间进行激活和升级的卡巴失效。在这个过程中,如果用户电脑中有其它软件也是要依赖系统时间的,那它们也同样会受到影响。

  接着,病毒在系统盘根目录下释放出病毒文件avp.exe,在%Program Files%目录下释放出下载列表ver.txt,然后开始运行,根据列表中的地址去下载更多其它的病毒文件,以及获取最新的下载列表。此处需注意,这个由病毒释放出的avp.exe文件,与卡巴斯基的执行文件名称一样,具有一定的伪装性,但因为是出现在系统盘根目录下,就可以以此来识别它。

  除了在本机上进行下载,该病毒还会感染中毒电脑上的全部EXE可执行文件,如果用户将它们拷贝到别的电脑上,病毒就可以实现扩散。当用户启动这些被感染的文件时,病毒就会启动,从病毒作者指定的远程服务器http://fff.t***kl.info/下载最新版本的自己和下载列表,然后循环以上的过程。

  根据毒霸反病毒工程师的分析,该毒下载的其它病毒中,绝大部分是针对网络游戏以及用户隐私资料的盗号木马,如果该毒能在用户电脑里顺利运行,那么将引发无法估计的更大损失。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章