TSPY_BANKER.VIX
Troj/Banker-FWU (Sophos)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
恶意软件类型:
Spyware
有破坏性?:
没有
加密?:
是的
In the Wild:
是的
概要
如需此「間諜程式」的快速全面一覽,請參閱下面的「安全威脅圖表」。
它试图窃取登录某些银行或金融相关网站时使用的信息,如用户名和密码。
技术详细信息
安装
它植入下列文件:
- %System Root%\ProgramData\log.brt
(注意: %System Root% 是根文件夹,通常位于 C:\。它也是操作系统所在的位置。)
它在受感染的系统中植入下列自身副本:
- %User Startup%\iexplorer.exe
(注意: %User Startup% 是当前用户的启动文件夹,通常位于 C:\Windows\Profiles\{user name}\Start Menu\Programs\Startup (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Start Menu\Programs\Startup (Windows NT) 和 C:\Documents and Settings\{User name}\「开始」菜单\程序\启动。)
其他系统修改
它添加下列注册表项:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
TaskbarNoThumbnail = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"
下载例程
它从下列网站下载自身的更新副本:
- http://www.{BLOCKED}0.com/bart4/up.txt
信息窃取
它试图从下列银行和/或其他金融机构窃取信息:
- Banco Itau
- Banco de Brasil
解决方案
Step 1
对于Windows ME和XP用户,在扫描前,请确认已禁用系统还原功能,才可全面扫描计算机。
Step 2
终止该进程
- 对于Windows 98和ME用户,Windows任务管理器可能不显示所有运行进程。在此情况下,请使用第三方进程查看程序(推荐Process Explorer)终止恶意软件/灰色软件/间谍软件文件。您可以在此下载上述工具。
- 如果检测到的文件出现在Windows任务管理器或Process Explorer中但不能删除,请重启计算机进入安全模式。请参阅该链接了解完整步骤。
- 如果检测到的文件未在Windows任务管理器或Process Explorer中出现,请继续下列步骤。
- %User Startup%\iexplorer.exe
Step 3
搜索和删除这些文件
- %User Startup%\iexplorer.exe
- %System Root%\ProgramData\log.brt
- %User Startup%\iexplorer.exe
- %System Root%\ProgramData\log.brt
Step 4
删除该注册表值
注意事项:错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者,请先阅读Microsoft文章,然后再修改计算机注册表。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- ConsentPromptBehaviorAdmin = "0"
- ConsentPromptBehaviorAdmin = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- TaskbarNoThumbnail = "1"
- TaskbarNoThumbnail = "1"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- EnableLUA = "0"
- EnableLUA = "0"
Step 5
使用趋势科技产品扫描计算机,并删除检测到的TSPY_BANKER.VIX文件 如果检测到的文件已被趋势科技产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。