Win32。Troj。OnlineGames。fb
病毒名称(中文):
腐败之盗病毒别名:
威胁级别:
病毒类型:
偷密码的木马病毒长度:
61520影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个盗号木马释放的DLL文件,该木马能够盗取多款网络游戏帐号。使用了基于SPI的DLL木马技术来进行木马进程的隐藏。
1。病毒DLL运行后,首先判断调用该DLL模块的文件名是否是svchost。exe和alg。exe,如果是表明已经被感染;
2。如果还未感染,则遍历进程,寻找sqmapi32。dll,找到该进程,则提升权限,开辟空间,创建远程线程,即建立与远程联系
的后门。
3。装载qdshm。dll资源,创建进程将木马程序嵌入到服务提供者的DLL文件中。
4。利用WSPStartup模块,启动系统网络服务,同时木马每次随着系统启动,自动跑起来。
5。该木马主要危害是盗号。
6。该木马使用了基于SPI的DLL木马技术来进行木马进程的隐藏。主要实现是利用在每个操作系统中都有系统网络服务,
它们是在系统启动时自动加载,而且很多是基于IP协议的。病毒作者写了一个IP协议的传输服务提供者,并安装在服务提供者数据库
的最前端,系统网络服务就会加载木马的服务提供者。再将木马程序嵌入到服务提供者的DLL文件中,在启动系统网络服务时木马程
序也会被启动。这种木马的特点是只需安装一次,而后就会被自动加载到可执行文件的进程中,还有一个特点就是它会被多个网络
服务加载。通常在系统关闭时,系统网络服务才会结束,所以木马程序同样可以在系统运行时保持激活状态。
在传输服务提供者中,有30个SPI函数是以分配表的形式存在...
(全文)