Trojan-PSW.Win32.Delf.ftp
病毒名称
Trojan-PSW.Win32.Delf.ftp
捕获时间
2007-10-18
病毒症状
该病毒是一个使用Delphi编写的木马程序,长度为10,328字节,图标为常规可执行文件图标,病毒扩展名为exe。
病毒分析
该木马程序激活后,在system32目录下释放dhapri.dll文件,修改文件属性为隐藏和系统,并修改文件的创建时间和修改时间;每隔0.5秒病毒自动修改一次注册表项:将dhapri.dll注入到进程explorer.exe及其子进程中、关闭Windows更新、穿越Windows内置防火墙;通过全局钩子将dhapri.dll文件试图注入到各个进程中;通过钩子函数盗取大话西游的帐号和密码,并将窃取到的帐号密码通过网络收信空间发给黑客;使用批处理文件删除自身。
病毒添加和修改的注册项:
项:HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\ShellExecuteHooks\\
键值:{12311A42-AC1B-158F-FD32-5674345F23A1}
指向文件:dhapri.dll
项:HKCR\\CLSID\\{12311A42-AC1B-158F-FD32-5674345F23A1}\\InProcServer32\\
键值:(Default)
指向文件:dhapri.dll
项:HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\
键值:AppInit_DLLs
指向文件:dhapri.dll
项:HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU\\
键值:NoAutoUpdate
键值数值:1
键值:AUOptions
键值数值:1
项:HKLM\\SYSTEM\\CurrentControlSet\\Services\\SharedAccess\\Parameters\\FirewallPolicy\\StandardProfile\\
键值:EnableFirewall
键值数值:0
感染对象
Windows 98/Windows ME/Windows 2000/Windows XP/Windows 2003
传播途径
网页挂马、文件捆绑