技術角度詳盡解析盜號木馬「鍵盤記錄員」

【賽迪網-IT技術報道】Win32.PSWTroj.OnLineGames.xn.108627是一個盜號木馬程序。它利用鍵盤記錄的方法，記錄下用戶輸入的全部信息，進行加密後發送給病毒作者。

病毒名稱(中文)：鍵盤記錄員108627

威脅級別：★★☆☆☆

病毒類型：偷密碼的木馬

病毒長度：108627

影響系統：Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行為：

這個病毒是一個盜號木馬程序。它利用鍵盤記錄的方法，記錄下用戶輸入的全部信息，進行加密後發送給病毒作者。病毒作者通過一定技術手段，就可以從這些信息中篩選出用戶的各類賬號和密碼。

1.程序運行後，生成文件

%system32%/mmvo.exe%system32%/mmvo0.dll

%Temp%/snj4.dll 這個文件名是隨機的

2.在註冊表中添加了註冊項，如下：

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]"mmva"="%system32%/mmvo.exe"

3.木馬會自動刪除原文件本身；

4.木馬可以修改SSDT(系統服務調度表)，從而躲過各種殺毒軟體查殺的目的；木馬將mmvo0.dll注入到explorer進程中，把病毒文件屬性設置為系統隱藏加只讀，並且監視註冊表的修改，把CheckedValue改成0，讓用戶無法顯示隱藏文件，監視用戶的鼠標，鍵盤操作，從而獲得用戶的遊戲賬號和密碼信息，成功獲取信息之後，病毒便將信息加密後以郵件的形式通過SMTP和網頁收信空間發送給木馬作者。

(