合肥本本之星合肥Thinkpad专卖店合肥Apple专卖店 hfthink 合肥本之星信息科技有限公司

标题: 敏感资料盗窃者与网游盗号木马 [打印本页]

作者: 合肥俊少 时间: 2014-9-23 11:09 标题: 敏感资料盗窃者与网游盗号木马

敏感资料盗窃者202792”（Win32.Troj.Hugedoor.a.202792），这是一个窃取信息的木马。它主要用来盗取黑客希望得到的信息。该程序会记录IE浏览器提交的所以用户名密码，以及OutLook、Foxmail等所有邮件工具的账号密码及服务器信息。同时，它还会记录QQ、ICQ、MSN的账号密码。
“网游盗号木马53248”（Win32.Troj.OnlineGames.ej.53248），这是一个网游盗号木马。该木马通过模拟鼠标点击的方式关闭部分杀毒软件的通知和报警窗口，然后读取游戏的内存空间，盗取网络游戏《天龙八部》、《惊天动地》等游戏和“浩方游戏平台”的帐号。

“敏感资料盗窃者202792”（Win32.Troj.Hugedoor.a.202792）  威胁级别：★★
病毒进入电脑后，释放病毒文件kernel.dll到系统盘的%WINDOWS%\system32\目录下，并修改系统注册表，将该文件的信息写入启动项，使自己能实现自启动。为迷惑用户，病毒会将该文件属性伪装成类似微软的文件，如果用户检查其属性，可看到其服务名为“WmdmPmSN”，名称为 &ldquoortable Media Serial Number Service”。
如果成功运行起来，病毒就会在系统中展开全面监视程序，记录下用户使用outlook和foxmail所有发出邮件的时间、用户名、密码、邮件服务器等信息。另外，它还会记录QQ、ICQ、MSN等即时通讯工具的帐号，密码。
病毒还记录用户使用IE浏览器时，输入的所有含TEXT和PASSWORD字样的内容，并将这些偷来的信息全部发送到木马种植者指定的地址。更令人发指的是，它甚至会在系统最近打开的文档中搜索doc、txt、pdf等格式的文件，将它们也上传给木马种植者。
而且此病毒有个狡猾之处，它在上传赃物的过程中，如果嗅探到有网络监控进程，就会暂停上传工作，等2分钟后再次检测。这样一来，监控程序就不容易发现它了。

“网游盗号木马53248”（Win32.Troj.OnlineGames.ej.53248）  威胁级别：★
病毒进入用户系统后，在系统盘中释放出两个病毒文件，分别为%WINDOWS%\目录下的AVPSvr.exe，以及%WINDOWS%\system32\目录下的AVPSrv.dll。随后它修改注册表启动项里的相关数据，使自己实现开机自启动。
当该病毒运行起来，它首先会循环查找杀毒软件卡巴斯基和瑞星的报警窗口，如果找到则抢先模拟鼠标点击的方式关闭掉，使用户不能够察觉木马的非法操作。
然后，病毒将之前生成的病毒文件AVPSrv.dll注入系统进程，查找网络游戏《天龙八部》、《惊天动地》等游戏和“浩方游戏平台”的帐号，如发现则创建相应的线程，通过读取内存的方式盗取用户帐号信息，并发送到木马种植者指定的地址，给用户造成虚拟财产的损失。

反病毒工程师建议
  1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
  2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

欢迎光临合肥本本之星合肥Thinkpad专卖店合肥Apple专卖店 hfthink 合肥本之星信息科技有限公司 (http://hfthink.com/)