魔兽网游盗号木马文件 s.exe 的一点分析

endurer　原创

2006-09-17　第1版

 某政府网站和某中央企业的网站被挂魔兽网游盗号木马 一文中的魔兽网游盗号木马文件 s.exe采用Borland Delphi 6.0 - 7.0开发，文件大小为：125,952 字节。采用 nSPack 1.3 -＞ North Star/Liu Xing Ping 加壳后，文件长度变为31,190 字节。

把自身复制为：C:/Program Files/Internet Explorer/explorer.exe

在 [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run] 下创建键“msmsgs”，键值为：“C:/Program Files/Internet Explorer/explorer.exe”，以实现在开机启动。

木马运行后会枚举进程、枚举窗口、设置钩子、模拟键盘按键。

对
/----------
qq.exe
kpfw32.exe
WoW.exe
launcher.exe
Client.exe
----------/
等进程进行处理。

创建文件：C:/test.txt

将盗取的密码发到：

/----------
hxxp://www.***.why***all.com/wow****.asp
hxxp://www.***.why***all.com/j****h*.asp
----------/

 

Kaspersky 报为 Trojan-PSW.Win32.WOW.iq