金山毒霸截获网银大盗变种B | |||||||||
---|---|---|---|---|---|---|---|---|---|
http://www.sina.com.cn 2004年06月04日 16:35 新浪科技 | |||||||||
新浪科技讯 金山毒霸报道:6月3日,金山毒霸成功截获网银大盗最新变种B,该变种会盗取更多银行的网上帐号和密码,可能会造成巨大的经济损失。请网络用户在升级毒霸到6月4日的病毒库以前,避免使用网银进行交易。以下病毒分析报告的详情及解决办法: 病毒信息:
病毒名称:Troj.KeyLog.b 威胁级别:2A 中文名称:网银大盗变种B 病毒类型:木马 受影响系统:Win9x, Windows 2000, Windows XP, Windows 2003 破坏方式: 该病毒可利用几乎所有的个人网上银行来盗取用户的帐号和密码,对用户危害更大。该病毒通过键盘记录的方式,监视用户操作。当用户使用个人网上银行进行交易时,该病毒会恶意记录用户所使用的帐号和密码,记录成功后,病毒会将盗取的帐号和密码发送给病毒作者,造成经济损失。 传染条件: 该病毒没有主动传播的性质,但容易被人恶意安装或是欺骗安装。请广大网络用户不要在不安全的网址中下载病毒,或是点击QQ等即时通讯中传来的网址。 技术特点: A、将自身复制到%SystemDir%\svch0st.exe (通常为C:\WinNT\system32、C:\Windows\system32、C:\windows\system) B、在注册表主键: HKEY_CURRENT_USER \SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Current Version\Runonce 下添加如下键值: “svch0st.exe” = “%SystemDir%\svch0st.exe” “taskmgr.exe” = “%SystemDir%\svch0st.exe” B、该病毒每隔10毫秒检查当前系统是否在运行以下网页浏览器:"Microsoft Internet Explorer" "Netscape" "Offline Explorer" 如果正在运行,病毒还会检测当前打开的窗口标题是否有以下文字: 招商银行个人银行 招商银行一网通: 中国工商银行新一代网上银行 申请牡丹信用卡 个人网上银行 中国工商银行网上银行: 中国建设银行网上银行 登陆个人网上银行;; ::中国建设银行 中国建设银行网上银行: 交通银行网上银行 交通银行网上银行: 深圳发展银行帐户查询系统 深圳发展银行|个人银行 深圳发展银行 | 个人用户申请表 深圳发展银行: 民生网个人普通版 民生银行: 网上银行--个人普通业务 华夏银行: 上海银行企业网上银行 上海银行: 首都电子商城商户管理平台 首都电子商城商户管理: 中国在线支付网: :IPAY网上支付中心 中国在线支付网商户: 招商银行网上支付中心 招商银行网上支付: 个人网上银行-网上支付 工商银行网上支付: 银联支付网关-->执行支付 银联支付网关: 招商银行一网通 个人银行大众版 D、如果以上检测都成功,病毒将又会启动一个时间控制器记录当前的所有键盘记录,包括字母、数字以及控制键。 E、病毒间隔60秒会将记录的信息发送至病毒作者指的网页 http://xastu.com/ding/get.asp 解决方案: A、请使用金山毒霸2004年06月4日的病毒库可完全处理该病毒; B、请广大网络用户提高警惕,不随意运行不知道的可执行程序,不打开网友传来的网页。即时打上IE漏洞补丁,避免病毒利用网页传播。 C、请使用金山网镖拦载不知名的程序防问网络,如果存在此类程序,请及时上报。 手工解决方案: 如果系统为WinMe或WinXP,则请先关闭系统还原功能。 对于系统是Win9x/WinMe 步骤一,删除病毒主程序 请使用干净的系统软盘引导系统到纯DOS模式,然后转到系统目录(默认的系统目录为C:\windows),分别输入以下命令,以便删除病毒程序: C:\windows\system\>del svch0st.exe 完毕后,取出系统软盘,重新引导到Windows系统。 如果手中没有系统软件盘,可以在引导系统时按“F5”键也可进入纯DOS模式。 步骤二,清除病毒在注册表里添加的项 打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter; 在左边的面板中, 双击(按箭头顺序查找,找到后双击): HKEY_CURRENT_USER \SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Current Version\Runonce 删除以下键值 “svch0st.exe” = “%SystemDir%\svch0st.exe” “taskmgr.exe” = “%SystemDir%\svch0st.exe” 关闭注册表编辑器. 步骤一,使用进程序管里器结束病毒进程 右键单击任务栏,弹出菜单,选择“任务管理器”,调出“Windows任务管理器”窗口。在任务管理器中,单击“进程”标签,在例表栏内找到病毒进程“svch0st.exe”,单击“结束进程按钮”,点击“是”,结束病毒进程,然后关闭“Windows任务管理器”; 步骤二,查找并删除病毒程序 通过“我的电脑”或“资源管理器”进入系统安装目录(Winnt\system32或windows\system32),找到文件“svch0st.exe”,将它删除; 步骤三,清除病毒在注册表里添加的项 打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter; 在左边的面板中, 双击(按箭头顺序查找,找到后双击): HKEY_CURRENT_USER \SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Current Version\Runonce 删除以下键值 “svch0st.exe” = “%SystemDir%\svch0st.exe” “taskmgr.exe” = “%SystemDir%\svch0st.exe” 关闭注册表编辑器. 金山毒霸提醒广大用户,尽快升级反病毒软件病毒库,最新的毒霸反病毒引擎能够对网银大盗新变种病毒进行有效查杀,欲了解更多反病毒信息请登陆www.duba.net反病毒资讯网,金山公司的为广大用户提供反病毒咨询,求助热线为:010-82326868。 |