Trojan.MoFei.d.dll

2008-02-23 08:37:59来源：互联网阅读 ()

病毒名称: Trojan.MoFei.d.dll 类别：木马病毒病毒资料：破坏方法：

病毒主功能模块

启动：

病毒执行后将释放下列文件到系统目录：

SCARDSVR32.EXE －－>病毒自身
SCARDSVR32.DLL －－>病毒主功能模块
MOFEI.CFG －－>病毒配置信息
病毒修改注册表的旧式智能卡驱动程序来自启动，相应注册表键值为：

HKLM\SYSTEM\ControlSet001\Services
\SCardDrv\ImagePath
原来为:"％SystemRoot％\System32\SCardSvr.exe"
修改后为：％SYSDIR％\％CURFILE％ -v

病毒行为：

病毒执行后在后台运行，同时试图登陆服务器：

Google.ods.org 端口8080
google.ods.org 端口1080
windowsupdate.daemon.sh 端口8080

病毒能进行ip扫描，然后试图以下列用户名以自带的密码字典登陆扫描到的机器。

wachen
shhung
cesil
corden
smchou
rober
hychen
flora
cthsieh
admin

密码字典：
"12"，"123"，"1234"，"12345"，"123456"，"1234567"，"12345678" "654321"，"54321"，"fan@ing*"，"1"，"111"，"111111"，"11111111" "000000"，"00000000"，"888888"，"88888888"，"pass"，"passwd"，"passWord" "admin"，"root"，"secret"，"Oracle"，"super"，"security"，"stgzs"

如果登陆成功则复制文件到下列目录并试图启动病毒：

\\％s\ADMIN$\System32\Scardsvr32.exe

\\％s\ADMIN$\System32\MoFei.VER
\\％s\IPC$\System32\Scardsvr32.exe
\\％s\IPC$\System32\MoFei.VER
其中％s为IP地址

该病毒同时带有后门功能，可以记录键盘，终止进程，文件操作；
病毒也将收集下列信息：

free space
total space
volume ID
volume name
disk type
available physical memory
physical memory
processor type
IP address
computer name

它将添加用户“tsinternetuser”到管理员组，并将自己植入到IEXPLORER.EXE和LSASS.EXE中；

病毒还能够自动更新
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2003-6-11

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有