盗取QQ密码的Trojan.PSW.QQPass.rky正通过QQ信息中的网址传播

迷南。 2024-02-17 13:46 48阅读 0赞

**endurer** 原创

2007-01-29 第**1**版

QQ收到如下信息：  
/-------  
hxxp://www.a\*\*hw\*\*l\*\*q\*t.com/\*\*1\*23\*\*.html 这里有我的照片大家来看下顺便给个评价谢谢了  
\-------/

打开该网页，没有内容，但网页中的VBScript代码会利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 123.exe，保存为 %temp%/svchost.exe，然后调用自定义函数tcsafe1exe(m5,X9)。

自定义函数tcsafe1exe()的功能是创建Shell.Application 对象Xe，利用 Xe 的 ShellExecute 方法 来运行 %temp%/svchost.exe。

这点与

劫持浏览器并弹广告的Trojan.Clicker.VB.ajn正通过QQ信息中的网址传播  
[http://endurer.bokee.com/6074696.html][http_endurer.bokee.com_6074696.html]  
[http://www.blogcn.com/user50/endurer/blog/51870395.html][http_www.blogcn.com_user50_endurer_blog_51870395.html]  
[http://blog.csdn.net/Purpleendurer/archive/2007/01/28/1496462.aspx][http_blog.csdn.net_Purpleendurer_archive_2007_01_28_1496462.aspx]

中的VBScript脚本程序相似。

/-----  
文件说明符 : D:/test/123.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-1-28 22:51:10  
修改时间 : 2007-1-28 22:51:24  
访问时间 : 2007-1-28 0:0:0  
大小 : 43490 字节 42.482 KB  
MD5 : 25c796d526b18a2e244b93bb6074f23a  
\-----/  
Kaspersky报为：**Trojan-PSW.Win32.QQPass.qg**  
瑞星报为：**Trojan.PSW.QQPass.rky**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">123.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>123.exe - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.QQPass.qg" rel="nofollow">Trojan-PSW.Win32.QQPass.qg</a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">262925</td> 
       <td align="right">Updated:</td> 
       <td align="left">29-01-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">43</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

昨晚这两个杀软都没反应，想不到今天都报了~

[http_endurer.bokee.com_6074696.html]: http://endurer.bokee.com/6074696.html
[http_www.blogcn.com_user50_endurer_blog_51870395.html]: http://www.blogcn.com/user50/endurer/blog/51870395.html
[http_blog.csdn.net_Purpleendurer_archive_2007_01_28_1496462.aspx]: http://blog.csdn.net/Purpleendurer/archive/2007/01/28/1496462.aspx