病毒别名： 处理时间：2006-08-24 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒为Windows平台下专门针对于工商银行网上交易系统的盗取帐号密码的木马，病毒运行后将自身伪装成系统文件，然后在后监视用户上网状态，用户打开工行网页时，病毒显示出伪工行网页诱使用户输入帐号密码.成功获取帐号密码后发送给病毒作者，给用户带来经济损失。

病毒主要通过软件捆绑或网络欺骗方式进行传播。

1、病毒运行后将自身伪装成系统正常程序:

%Windir%\\svchost.exe

2、病毒运行时复制病毒本身所附带的"MSWINSCK.OCX"文件复制到以下目录中:

%Windir%\\system32\\MSWINSCK.OCX

并且调用:"regsvr32.exe"进行注册该控件。

3、病毒将自身添加至注册表自启动项:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"svchost" = "%Windir%\\svchost.exe"

4、病毒运行后在后台通过查找以下窗体名方式进行判断用户是否打开工行的网页:

中国工商银行新一代网上银行 - Internet Explorer

5、当用户打开工行网页时，病毒隐藏原ie窗体，然后弹出伪工行网页，诱使用户输入帐号密码信息。

6、成功获取帐号密码信息后，病毒将信息发送给病毒作者。