简介
运行木马后通过弹出安全警告要求输入密码达到钓鱼盗取QQ号目的。被感染系统及网络症状 QQ对话框被隐藏，弹出自己构造的警告对话框网络症状向指定IP发送QQ号和密码详细分析／功能介绍木马主要流程：
<DIV id=aimg_135321_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135321" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (53.29 KB) 1.资料.exe的分析：
资料.exe是c写的，没有加壳，功能很简单，就是调用Raining.dll，使用Raining.dll的一个导出函数InitDll，然后进入一个死循环
<DIV id=aimg_135322_menu disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (106.52 KB) 2.主体的功能代码在Raining.dll里面，查找QQ2012 2011窗口是否存在，存在就获取进程ID，顶层窗口句柄，窗口类名，同TXGuiFoundation比较，通过Spy++工具我们就可以知道，QQ的窗口类名就是TXGuiFoundation。为后面的盗号做准备。
<DIV id=aimg_135323_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135323" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (104.29 KB) 3.自己提权，为调试别的程序做准备
<DIV id=aimg_135324_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135324" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (116.2 KB) 4.打开QQ进程，在其进程空间中寻找qqFixFileList.dat字符串，因为在这个字符串的前面就是QQ号，也就是QQ为每个用户建立的一个文件夹
<DIV id=aimg_135325_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135325" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (49.63 KB) 5.通过showwindow将QQ窗口隐藏，构造钓鱼窗口
<DIV id=aimg_135326_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135326" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (12.38 KB) <DIV id=aimg_135327_menu disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (19.65 KB) 6.通过socket套接字将信息发送到指定的IP
<DIV id=aimg_135328_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135328" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (91.08 KB) 发送的内容<DIV id=aimg_135329_menu initialized="true" cache="1" fade="false" cover="0" layer="1" mtype="menu" ctrlkey="aimg_135329" disautofocus="true" aimg_tip? tip_4><DIV xs0?>
2012-7-28 15:35 上传
下载附件 (22.15 KB) 预防及修复措施 这个只是一个钓鱼的木马，只用删除文件就可以清除了。技术热点及总结 这个钓鱼的木马比较巧妙的隐藏了QQ，弹出钓鱼，如果第一次遇见还以为是真的，木马没有对注册表，服务等项做操作，也没有危险的API操作，所以很多杀软对其无动于衷，这个是它的精妙之处吧。 这类的盗号我看见过几个版本了，有VB写的，有VC写的，发信方式也有不同的，有socket的，也有通过IE的，大家以后在接收到什么文档.exe，资料.exe，照片.exe等类似名字的exe一定要多加小心哦。
