扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
针对QQ的木马和网游盗号的恶意程序越来越多,近日记者从金山方面获悉,两种木马突发泛滥。广大网友需提高警惕。
“QQ伪装盗号者163840”(Win32.PSWTroj.QQPass.xw.163840),该病毒是针对QQ即时聊天工具的盗号木马。病毒运行后会释放伪装成系统桌面进程的病毒文件,修改注册表增加启动项,然后通过内存读取的方式盗取密码,并把密码发送到木马种植者的手上。
“热血江湖伪装登录器458752”(Win32.PSWTroj.OnLineGames.ni.458752),这是一个会盗窃网络游戏《热血江湖》帐号的木马程序。它运行后会替换掉网游《热血江湖》的启动文件,让用户通过病毒伪装的启动文件进入游戏,从而盗取系统上的帐号信息,并发送给木马作者。
一、“QQ伪装盗号者163840”(Win32.PSWTroj.QQPass.xw.163840) 威胁级别:★
今天首先需要介绍的是一个QQ盗号木马。据毒霸反病毒工程师的监测,此木马以及它的若干变种在近日大量增加。整体来看,该毒的技术含量并不高,毒霸、清理专家以及大部分其它安全软件都能将其查杀,但基于病毒流行趋势的需要,我们依然发出预警播报。
该毒在进入用户系统后,会将病毒文件explorer.exe和systemlr.dll释放到系统盘的%WINDOWS%system32目录下,其中的explorer.exe是病毒主文件,它的数据会被写入注册表启动项,以实现开机自启动,由于名字伪装成与系统桌面进程一样,会给用户造成一定的迷惑。而systemlr.dll则是用来执行盗号的,习惯手动杀毒的用户一定要删除这两个文件。
在顺利运行起来后,病毒就将systemlr.dll注入到桌面进程中,搜寻并注入QQ的进程,通过内存读取的方式盗取密码,并把密码发送到木马种植者指定的邮箱中。病毒作者获得用户的QQ号后,会洗走用户的Q币,并向用户的好友发送含有挂马网页地址的链接,传播各类其它盗号木马。
二、“热血江湖伪装登录器458752”(Win32.PSWTroj.OnLineGames.ni.458752) 威胁级别:★
这个木马会利用假冒的游戏登录器来收集《热血江湖》玩家的帐号信息。
病毒利用网页挂马和捆绑文件等方法进入用户系统后,会释放出3个病毒文件,分别为%windows%目录下的BO.exe、%WINDOWS%System32目录下的terple.sys和sperls.dll,其中BO.exe是病毒主文件,它会被写入系统注册表启动项,实现开机自启动。
木马会把dll文件注入系统进程explorer.exe和Client.exe中,展开全局监视,在系统中搜寻 “yb_sync.dll”和“yb_mem.dll"”两个文件的所在路径。它们是《热血江湖》的文件,只要发现了它们,病毒就能够判定用户电脑中安装了它想下手的目标。
接下来,病毒就找到游戏目录,将登录程序 launcher.exe 重命名为 launchar.exe,并设置 为“系统”和“隐藏”,再将之前生成的病毒文件 BO.exe 复制到游戏目录下伪装成 launcher.exe。这样一来,用户就会把病毒当作正常的登录器来运行。
当用户用这个假冒的登录器登录游戏时,病毒就被启动,它注入游戏进程的内存,读取帐号信息并发送至木马作者指定的接收网址。与此同时,它会调用那个被藏起来的真正登录器,为用户执行登录。再加上运行完毕后,病毒会执行自我删除程序,删掉自己的原始文件,这样一来,用户就完全无法察觉系统的异常。
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者