病毒基本屬性

屬性	數值
病毒名稱 (中文)	鍵盤側錄器 108627
威脅等級	★★☆☆☆ (中低)
類型	竊密木馬 (PSW Trojan)
檔案大小	108,627 Bytes
影響系統	Win9x/Me/NT/2000/XP/2003

核心行為技術解析

1. 檔案投放與持久化

• 執行後於 %System32% 建立兩個核心檔案：
  • mmvo.exe — 主程式載入器
  • mmvo0.dll — 核心側錄模組 (Hook 引擎)
• %Temp%\snj4.dll (隨機檔名) — 臨時協助模組。
• 註冊表啟動項持久化：

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "mmva"="%System32%\mmvo.exe"

• **自我刪除：** 執行後刪除原始下載檔，減少靜態掃描發現機率。

2. 核心隱匿與防禦繞過技術

• SSDT Hook (系統服務描述表修改)： 修改核心系統服務分派表，攔截關鍵 API (如 NtCreateFile, NtOpenProcess)，隱藏自身檔案、進程、註冊表項，繞過傳統特徵碼掃描與行為監控。
• DLL 注入 Explorer 進程： 將 mmvo0.dll 注入 explorer.exe，在用戶桌面環境下長駐，捕獲全域鍵盤/滑鼠訊息。
• 檔案屬性偽裝： 設定「系統+隱藏+唯讀」屬性，配合修改註冊表 CheckedValue = 0 (位於 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL)，強制關閉「顯示隱藏檔案」選項，使用者無法透過資料夾選項恢復顯示。

3. 竊取目標與資料外洩

• 監控範圍： 全域鍵盤按鍵、滑鼠點擊/移動、視窗標題切換 (推斷當前應用/遊戲)。
• 目標篩選： 針對線上遊戲帳號密碼 (如《傳奇》、《魔獸世界》等當時代熱門遊戲)、即時通訊軟體帳號、網銀憑證。
• 資料處理： 記憶體中緩衝 → 自定義加密演算法加密 → 透過 SMTP 協議發送至攻擊者郵箱、或上傳至免費網頁郵箱/論壇留言板。

指標特徵 (IOCs) 供防禦參考

• 檔案雜湊 (MD5/SHA1) — 需以實際樣本計算，此處略。
• 檔案路徑： %System32%\mmvo.exe, %System32%\mmvo0.dll, %Temp%\snj*.dll
• 註冊表： HKLM\...\Run\mmva, HKLM\...\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 0
• 網路行為： 連接 SMTP 埠 (25/465/587) 發送郵件、HTTP POST 至免費郵箱/論壇介面。
• 進程注入： explorer.exe 載入非標準 DLL (mmvo0.dll)。

清除與防護建議

1. 離線環境下 使用支援反 Rootkit 掃描的工具 (KVRT、GMER、Malwarebytes Anti-Rootkit) 掃描清除。
2. 手動檢查並刪除上述檔案、註冊表項，**恢復 CheckedValue = 1** 重新啟用隱藏檔案顯示。
3. 檢查 explorer.exe 載入模組清單 (Process Explorer / ListDLLs)，卸載異常 DLL。
4. 修改所有可能被竊取的帳號密碼，啟用雙因子認證 (2FA)。
5. 部署 **EDR/XDR** 監控 SSDT 修改、DLL 注入、異常 SMTP 連線、登錄檔竄改等行為特徵，實現行為級攔截而非依賴特徵碼。

結語

此木馬雖屬早期樣本 (2005-2007 年間流行)，但其 **SSDT Hook、DLL 注入 Explorer、修改註冊表隱藏自身、SMTP 外洩** 等核心技術，至今仍是現代竊密木馬 (如 AgentTesla、FormBook、RedLine Stealer) 的標準戰術。理解其原理，有助於建立基於行為特徵 (TTPs) 而非單一特徵碼的持久防禦能力。