网购木马作案手法

　　1）盗号

　　盗号木马主要通过潜藏在网页中或是图片及一些文件里，通过受害者打开网页或是打开“卖家”发来的文件，盗取网民的淘宝 ID、支付宝 ID、QQ 号、银行卡或信用卡信息，然后伺机窃取用户资产。

　　2）交易劫持

　　这类木马是最早发现的网购木马类型，大小一般为 30MB 左右，用图片或 Of?ce 图标做掩饰，在整个网购木马中占比约为 20%。此类网购木马不需要借助任何其他文件，所有操作都由自己完成，通过淘宝旺旺、QQ 等将以“实物图”等命名的文件发给买家，买家打开就会直接运行木马程序。

　　3）“压缩包炸弹”

　　“压缩包炸弹”类网购木马是最近发现的网购木马的新形式，主要采用两种方式逃脱杀毒软件的查杀。首先，它将自身体积由原来网购木马的几十 MB 增大至上百 MB，有的整个文件达到 400MB 左右，文件体积的增大会极大地影响传统杀毒软件的查杀结果；其次，病毒制作者采用稀有的压缩格式对病毒进行多层循环打包。这类网购木马在最后一层打包后会重新命名为诸如“实物图”等一些会诱骗买家点击的名字，让受害者自行解包运行，此类木马在网购木马中约占 45%。

　　4）用正常软件作掩护

　　这类网购木马的策略主要是依附于正常的有数字证书的应用程序（比如好压），由正常程序间接运行网购木马，以躲避杀毒软件的拦截。该木马在传播时将自己的病毒 dll 文件命名成 HaoZip.dll，连同正常的好压软件（exe 文件）一同打包。网民收到文件后，运行好压的

　　exe 时会自动加载 HaoZip.dll 文件，而这个 dll 文件正是网购木马自身。病毒制作者为了欺骗网民点击，会把好压的 exe 文件命名为“实物图/ 高清图”等。此类木马在网购木马中约占 30%。