TSPY_BRUTER.A

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

安(ān)装(zhuāng)

它在受感染的系统中(zhōng)植入下列自身副本：

• %User Temp%\sysman\svchost.exe

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它植入下列文(wén)件：

• %User Temp%\sysman\wmplog09c.sqm -> malware's configuration file

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它创建下列文(wén)件夹：

• %User Temp%\sysman

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它添加下列互斥条目，确保一次只会运行一个副本：

• BaseNamedObjects\FwtSqmSession106839323_S-1-5-20

自启动技(jì )术

它會新(xīn)增並執行下列服務：

• Service Name: Indman
  Display Name: Indexing Manager
  Description: Provides fast indexing service
  Binary Pathname: %User Temp%\sysman\svchost.exe

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

后门例程

它读取包含要发送给遠(yuǎn)程服務(wù)器的命令和数据的配置文(wén)件。