Worm.Win32.Francette.r

2008-02-23 09:30:08来源：互联网阅读 ()

病毒名称: Worm.Win32.Francette.r 类别：蠕虫病毒资料：破坏方法：

蠕虫病毒

病毒采用Delphi编写，UPX压缩。

病毒运行后修改注册表以下键：

HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run\Microsoft IIS
以达到其自启动的目的。

释放"lol.dll"和"lsass32.exe"文件到当前目录下。
其中"lol.dll"文件是用于挂接键盘钩子的动态库文件，如果当前窗体的标题中包含有以下字符串，病毒将记录用户对该窗体的键盘操作：

https://secure.authorize.net
https://ib.national.com.au
https://web.da-us.citibank.com
Bank One - online banking, home
https://www06.sbc.com/myaccount
https://www1.royalbank.com/cgi-bin/rbAccess
Bank Midwest
TIBLink Internet Banking Sign On
https://secure.netbank.com
IBS Internet Banking
Welcome to Nodaway Valley Bank Online
Charter One Bank
First Hawaiian Bank
Huntington Online Banking
Fleet Fleet HomeLink Online Banking and Investing Banking
Bendingo e-banking
First Tennessee
Tompkins Trust - Community Banks in Ithaca
E*TRADE
......

"lsass32.exe"文件是漏洞探测工具，用于探测利用微软操作系统的缓冲区溢出漏洞（MS04-011），并且病毒会试图利用该漏洞进行传播。

病毒还带有IRC后门功能，病毒会以特定的昵称登录指定的IRC频道，并为其控制端提供远程控制服务。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。

发现日期： 2004-10-11

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有