病毒别名：

处理时间：2005-08-14

威胁级别：★

中文名称：闪盘窃密者

病毒类型：黑客程序

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个木马生成器测试版，根据用户选择生成注入不同进程(explorer.exe或winlogon.exe)的木马thief.exe，运行thief.exe，首先拷贝自身到%system%\\inetsvr.exe，然后生成临时文件boot.inf，并安装服务，伪装成"Windows Internet Service"，随开机启动(FDTDLL.dll注入器)；然后在当前目录生成系统隐藏属性的木马FDTDLL.dll，并将FDTDLL.dll注入到explorer.exe或winlogon.exe进程，FDTDLL.dll创建两个线程，一个用来不停地执行删除thief.exe文件，造成了资源的极大浪费；另一个线程监视闪盘，并将里面的文件复制到指定文件夹(测试版为c:\\test\\)。

1，生成木马

%当前目录%\\thief.exe

2，木马thief.exe生成文件

%system%\\inetsvr.exe

%当前目录%\\FDTDLL.dll

3，使用服务技术使得木马开机启动

c:\\boot.inf，临时文件，安装服务后删除。

内容为：

[Version]

Signature="$WINDOWS NT$"

[DefaultInstall.Services]

AddService=inetsvr,,My_AddService_Name

[My_AddService_Name]

DisplayName=Windows Internet Service

Description=提供对 Internet 信息服务管理的支持.

ServiceType=0x10

StartType=2

ErrorControl=0

ServiceBinary=%11%\\inetsvr.exe]

4，使用注入进程技术

注入explorer.exe或winlogon.exe进程，生成木马时可选择

5，监控闪盘，盗取文件

存入指定文件夹，测试版为c:\\test\\。