病毒名称:
Worm.Win32.Francette.r
类别： 蠕虫
病毒资料：
破坏方法：
蠕虫病毒
病毒采用Delphi编写，UPX压缩。
病毒运行后修改注册表以下键：
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run\Microsoft IIS
以达到其自启动的目的。
释放"lol.dll"和"lsass32.exe"文件到当前目录下。
其中"lol.dll"文件是用于挂接键盘钩子的动态库文件，如果当前窗体的标题中包含有以下字符串，病毒将记录用户对该窗体的键盘操作：
https://secure.authorize.net
https://ib.national.com.au
https://web.da-us.citibank.com
Bank One - online banking, home
https://www06.sbc.com/myaccount
https://www1.royalbank.com/cgi-bin/rbAccess
Bank Midwest
TIBLink Internet Banking Sign On
https://secure.netbank.com
IBS Internet Banking
Welcome to Nodaway Valley Bank Online
Charter One Bank
First Hawaiian Bank
Huntington Online Banking
Fleet Fleet HomeLink Online Banking and Investing Banking
Bendingo e-banking
First Tennessee
Tompkins Trust - Community Banks in Ithaca
E*TRADE
......
"lsass32.exe"文件是漏洞探测工具，用于探测利用微软操作系统的缓冲区溢出漏洞（MS04-011），并且病毒会试图利用该漏洞进行传播。
病毒还带有IRC后门功能，病毒会以特定的昵称登录指定的IRC频道，并为其控制端提供远程控制服务。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-10-11
|
