一个盗取用户淘宝信息的木马分析.docx

一个盗取用户淘宝信息的木马分析木马核心功能:当用户使用浏览器上网时,该木马会盗取目标机器的淘宝账户的订单信息,宝贝信息,经常浏览的宝贝,收藏的宝贝,订单号,支付方式,用户cookie等等,然后发送到木马作者的服务器.基本信息详细分析复制自身到system目录下然后从这里开始一系列木马行为开始准备LSP利用SPI(服务提供者接口)枚举协议,为LSP的安装做准备获取LSPGUID安装LSP安装位置是c:windowssystem32Acceleratex86.dll,下次重新浏览器浏览网页的时候就会被加载了对应IDA安装之后程序睡眠退出另一条分支分析这里检测木马的dll是不是被注入到浏览器了木马工作的时候需要母体把这个dll注入进去,LSP可以帮助木马的DLL完成注入的功能然后修改注册表”SoftwareMicrosoftWindowsCurrentVersionInternet SettingsZones”,降低浏览器的安全级别 (默认是