02月21日病毒播报：“网银窃贼”变种rho和“毒疤”变种

在今天的病毒中Trojan/Banker.Banker.rho“网银窃贼”变种rho和Trojan/Scar.gih“毒疤”变种gih值得关注。
英文名称：Trojan/Banker.Banker.rho
中文名称：“网银窃贼”变种rho
病毒长度：39936字节
病毒类型：木马
危险级别：★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：21ca3b09c1e80d0eac22803015cc0d03
特征描述：
    Trojan/Banker.Banker.rho“网银窃贼”变种rho是“网银窃贼”家族中的最新成员之一，采用“Borland Delphi 6.0 - 7.0”编写，经过加壳保护处理。“网银窃贼”变种rho运行后，会判断“%SystemRoot%\system32\drivers\”目录下是否存在hgfs.sys、prleth.sys、vmhgfs.sys。其中，hgfs.sys为VMware Tools的驱动文件，如发现存在该驱动文件则调用函数结束线程致使VMware虚拟机蓝屏，从而防止在虚拟机中运行此病毒。尝试获取DBGHELP.DLL（Ollydbg调试器动态链接库文件）、sbieDll.dll（沙盘动态链接库文件）句柄，判断自身是否处于被调试状态，如果发现被调试则会强行干扰调试过程。查找注册表“HKLM\HARDWARE\Description\System\SystemBiosVersion\VBOX”的键值是否为“55274-640-1532467-23148”，如果找到该值则会退出自身进程。“网银窃贼”变种rho运行时，会将恶意代码插入到系统桌面程序“explorer.exe”进程中隐秘运行。后台执行恶意操作，隐藏自我，防止被轻易地查杀。在被感染系统的后台连接骇客指定的远程站点“ your*ray.ru”，获取恶意程序下载列表，下载指定的恶意程序并自动调用运行。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，致使用户面临更多的威胁。

英文名称：Trojan/Scar.gih
中文名称：“毒疤”变种gih
病毒长度：91136字节
病毒类型：木马
危险级别：★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：3d3a96e3620fed0b2e65447ecebee062
特征描述：
    Trojan/Scar.gih“毒疤”变种gih是“毒疤”家族中的最新成员之一，采用“Microsoft Visual Studio .NET 2005 -- 2008”编写。“毒疤”变种gih运行后，会自我复制到被感染系统的“%USERPROFILE%\Local Settings\Temp\”和“%APPDATA%\”文件夹下，重新命名为“mstsc.exe”。还会在“%APPDATA%\Microsoft\”文件夹下释放恶意程序“comrepl.exe”，在“%SystemRoot%\system32\drivers\”文件夹下释放“esentutl.exe”。执行命令“%APPDATA%\Microsoft\comrepl.exe/waitservice”来启动恶意程序“comrepl.exe”。“毒疤”变种gih运行时，会在被感染系统的后台连接骇客指定的URL“www.kad*p.com/img/gt.cgi?s=3028995892&r=jcvc”，可能是对被感染系统进行数量统计。后台定时访问指定的恶意站点“ad.ope*ags.org”，以此提高这些网站的访问量（网络排名），给骇客带来了非法的经济利益，还会严重地影响和干扰用户的正常操作。另外，“毒疤”变种gih会在被感染系统注册表启动项中添加键值，以此实现开机自动运行。

 

标签分类：