盗取网站账户密码和本地邮箱木马分析

发现了一种盗取浏览器保存的网站账户密码和本地邮箱的账号和密码的木马，这个木马主要通过使用Mail passView和webBrowserPassView两款查看账号密码的软件，通过两款外壳来对两个工具进行加密，然后进行注入，执行后发送到
黑客的服务器中。

样本剖析

该样本一共有两种外壳，两种外壳都是将核心文件解密出来
下图是解密出的核心文件，是个PE文件

核心文件是个VB编写的文件，且图标都是这个样子

看下编译时间都是2012年，可以看到这种攻击已经存在很多时间了

接下来是这个VB程序会开启两个自身进程，然后将这两个程序注入到里面，然后执行，程序将结果保存在文件夹

下面是运行参数，将结果保存到指定文件中
/scomma “C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ikSpJTukxf.ini””
下面DUMP出来的webBrowserPassView