关注恶意软件：

名称：在线支付劫持木马（Trojan-PSW.Win32.Alipay.ib）

大小：401 MB

是否加壳：是

加壳方式：未知

创建文件：

C:\1.bat
C:\1.exe
C:\1.com
C:\dll.dll
C:\Documents and Settings\Administrator\My Documents\taobao\1.txt
C:\Documents and Settings\Administrator\My Documents\taobao\web.exe
C:\Documents and Settings\Administrator\My Documents\taobao\s.exe

修改注册表：

HKCR\CLSID\{971C5380-52A0-4069-32EA-28002B30309D}\shell\open(&H)\command\(Default) = "wscript -e:vbs "C:\Documents and Settings\Administrator\My Documents\taobao\1.txt
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\(Default) = "C:\Documents and Settings\Administrator\My Documents\taobao\a.{971C5380-52A0-4069-32EA-28002B30309D} hh.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1809,"3"
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1609,"0"
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1607,"0"
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1804,"0"

行为描述：

该木马会将自身图标伪装成图片文件，并添加“The KMPlayer”版本信息，迷惑用户点击运行。此外，为了避免被反病毒软件的云端捕获，木马作者对木马程序添加了大量且有规律的垃圾代码，使文件体积巨大（约400M），但压缩后体积只有几百KB，非常易于传播。一旦运行，会将自身拷贝至C:\Documents and Settings\Administrator\My Documents\taobao\s.exe。将名称为“a.{971C5380-52A0-4069-32EA-28002B30309D}”的文件夹快捷方式添加至开机启动，通过修改注册表，使打开此文件夹时启动木马程序自身。

木马程序执行时，会弹出提示“系统不支持”，使用户误认为是图片文件无法打开，实际上恶意代码已经被执行。此木马会注入恶意代码至“services.exe”和“explorer.exe”进程中，监视用户是否打开支付页面。当用户支付时，支付对象会被修改，本应该支付给正常商家的金额会落入黑客手中，然后木马程序会打开事先设计好的错误页面，提示用户支付超时等。这样用户不但无法买到想要的商品，反而蒙受损失。

目前，卡巴斯基所有产品均可以对其查杀。

专家预防建议:

建立良好的安全习惯，不打开可疑邮件和可疑网站。

不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。

使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。

现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。

安装专业的防毒软件升级到最新版本，并开启实时监控功能。

为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。

不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。