網銀大盜Ⅱ詳細技術分析報告
病毒名稱：網銀大盜Ⅱ（Trojan/KeyLog.Dingxa）
病毒類型：木馬
病毒大小：16284字節
傳播方式：網絡
壓縮方式：ASpack2004年6月2日晚，反病毒中心又截獲「網銀大盜」新變種，該木馬盜取幾乎涵蓋目前所有個人網上銀行的帳號、密碼、驗證碼等等，發送給病毒作者。此木馬與4月分截獲網銀大盜（Trojan/PSW.HidWebmon）有異曲同工之處，但涉及銀行之多，範圍之廣是歷來最大的，不但給染毒用戶造成的損失更大，更直接，也給各網上銀行造成更大的安全威脅和信任危機。
具體技術特徵如下：
1. 病毒運行後，盜取個人電腦中的網路銀行 2. 病毒算機中創建以下文件：
%SystemDir%svch0st.exe，16284字節，病毒本身 在註冊表的HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrent VersionRun中創建：
「svch0st.exe」 = 「%SystemDir%svch0st.exe」
「taskmgr.exe」 = 「%SystemDir%svch0st.exe」
3. 病毒運行後會根據IE窗口標題欄判斷是否為網上銀行頁面，如果發現上述提到的銀行後，病毒立即開始記錄鍵盤敲擊的每一個鍵值，記錄鍵值包括：
AabCcDdEeFfGgHhIiJjKkLlMmNnOoPpQqRrSsTtUuVvWwXxYyZz1
!2@3#4$5%6^7&8*9(0)
;:=+,<-_.>/?`~][' 4. 病毒截取到鍵盤值後，會形成信息發到指定http://*****.com/****/get.asp。其信息如下：http://*****.com/****/get.asp?txt=××銀行：<截獲的按鍵> 5.病毒開啟3個定時器，每隔幾秒鐘搜索用戶的IE窗口，如果發現用戶正在使用上述銀行的「個人網上銀行」的登陸界面，則嘗試記錄用戶鍵入的所有鍵值，然後把竊取到的信息通過get方式發送到指定的服務器。
|