Trojan-PSW.Win32.Delf.ftp

新客网 XKER.COM 2007-10-30 收藏本文

病毒名称
Trojan-PSW.Win32.Delf.ftp
捕获时间
2007-10-18
病毒症状
　　该病毒是一个使用Delphi编写的木马程序，长度为10,328字节，图标为常规可执行文件图标，病毒扩展名为exe。
病毒分析
　　该木马程序激活后，在system32目录下释放dhapri.dll文件，修改文件属性为隐藏和系统，并修改文件的创建时间和修改时间；每隔0.5秒病毒自动修改一次注册表项：将dhapri.dll注入到进程explorer.exe及其子进程中、关闭Windows更新、穿越Windows内置防火墙；通过全局钩子将dhapri.dll文件试图注入到各个进程中；通过钩子函数盗取大话西游的帐号和密码，并将窃取到的帐号密码通过网络收信空间发给黑客；使用批处理文件删除自身。
病毒添加和修改的注册项：
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
键值：
指向文件：dhapri.dll
项：HKCR\CLSID\\InProcServer32\
键值：(Default)
指向文件：dhapri.dll
项：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
键值:AppInit_DLLs
指向文件：dhapri.dll
项：HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\
键值:NoAutoUpdate
键值数值：1
键值:AUOptions
键值数值：1
项：HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\
键值:EnableFirewall
键值数值：0
感染对象
Windows 98/Windows ME/Windows 2000/Windows XP/Windows 2003
传播途径
网页挂马、文件捆绑

• ·Trojan-Downloader.Win32.Agent.kzh
• ·Backdoor.Win32.ARP.b
• ·Backdoor/SdBot.frk
• ·网游窃贼变种iho
• ·TrojanSpy.USBSpy.a
• ·怒花变种c
• ·QQ窃听器变种c
• ·尼拉葛变种qu