TrojanSpy.Banker.ag

病毒长度：31,232 字节, 6,144 字节, 8,192 字节 可变

病毒类型：木马

影响平台：Win9X/2000/NT/Me

TrojanSpy.Banker.ag是一个可以记录键盘操作的木马程序，包含在一个垃圾邮件的附件中的。可以伴随一个代理服务程序。

传播过程及特征：

1.生成文件：

%Windir%\\MSTO32.DLL

%Windir%\\%File1%

%Windir%\\SYSINI.INI

%System%\\%File2%

%System%\\%File3%

%Windir%\\msrt32.dll

%Windir%\\dorta32.dll

2修改注册表：

/在系统注册表启动项下添加键值：

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"Online Service"="%Windir%\\%File1%..."

"Onlune Sarvice"="%Windir%\\sachost.exe"

/为了达到更改IE默认页，修改键值；

[HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Main]

Start Page 修改为：

strawberries.teenfestival.com?alla.html

realgirltgp.virgin-paradize.com/warn.html

strawberries.teensfestival.com/search2.html

3.打开10002端口并从网站下载木马的升级文件，如果成功则以Surte.exe文件名保存到系统目录然后执行。

4.记录键击，并将记录的信息通过SMTP发送给攻击者，也可以将其发送到固定的FTP网站。

注：%Windir%为变量，一般为C:\\Windows 或 C:\\Winnt；

%System%为变量，一般为C:\\Windows\\System (Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000),

或 C:\\Windows\\System32 (Windows XP)。