Win32.Hack.ThiefTool

影响系统:

该病毒是一个木马生成器测试版，根据用户选择生成注入不同进程(explorer.exe或winlogon.exe)的木马thief.exe，运行thief.exe，首先拷贝自身到%system%\inetsvr.exe，然后生成临时文件boot.inf，并安装服务，伪装成"Windows Internet Service"，随开机启动(FDTDLL.dll注入器)；然后在当前目录生成系统隐藏属性的木马FDTDLL.dll，并将FDTDLL.dll注入到explorer.exe或winlogon.exe进程，FDTDLL.dll创建两个线程，一个用来不停地执行删除thief.exe文件，造成了资源的极大浪费；另一个线程监视闪盘，并将里面的文件复制到指定文件夹(测试版为c:\test\)。

1，生成木马
%当前目录%\thief.exe

2，木马thief.exe生成文件
%system%\inetsvr.exe
%当前目录%\FDTDLL.dll

3，使用服务技术使得木马开机启动
c:\boot.inf，临时文件，安装服务后删除。
内容为：
[Version]
Signature="$WINDOWS NT$"
[DefaultInstall.Services]
AddService=inetsvr,,My_AddService_Name
[My_AddService_Name]
DisplayName=Windows Internet Service
Description=提供对 Internet 信息服务管理的支持.
ServiceType=0x10
StartType=2
ErrorControl=0
ServiceBinary=%11%\inetsvr.exe]

4，使用注入进程技术
注入explorer.exe或winlogon.exe进程，生成木马时可选择

5，监控闪盘，盗取文件
存入指定文件夹，测试版为c:\test\。