日前，一个全新的后门木马出现在人们的视线中，它可以从Skype中盗取文件、截屏并录制用户的通话记录。这个叫做T9000的木马是T5000的进化版，其在2013年和2014年尤为盛行，主要攻击人权活动人士、汽车行业及亚太地区的政府。

来自美加州帕洛阿尔托Networkds的研究人员表示，虽然T9000现在只在美国组织的钓鱼电子邮件中被发现，但只要攻击者想要，他们则是可以利用其对任何目标发起攻击。这款恶意软件通过RTF文件(利用的是CVE-2012-1856和CVE-2015-1641)侵入用户电脑。

和老版的相比，T9000更复杂。对这款恶意软件进行过研究的研究人员指出，T9000的开发者用尽解数不让其被杀毒软件给检测出来。

T9000的安装过程分成多个阶段进行，并且在每个阶段开始前都会要先对设备内的恶意软件分析工具和24小时安全检测产品进行检查—检查的范围非常广，包括了Sophos、INCAInternet、DoctorWeb、Baidu、Comodo、TrustPortAntivirus、GData、AVG、BitDefender、VirusChaser、McAfee、Panda、Trend Micro、Kingsoft、Norton、Micropoint、Filseclab、AhnLab、JiangMin、Tecent、Avira、Kaspersky、Rising、Qihoo360。

一旦该恶意软件安装成功，那么它做的第一件事情就是收集来自感染系统的信息并将其发到C&C服务器上，这样就能将每一位受害人区分开来。之后，服务器就会向目标设备发送基于盗取来的信息定制的模块。

目前，研究人员已经确定了3个常用模块。其中一个最重大的(tyeu.dat)则是用于专门监控Skype通话的模块。只要这个模块被下载到设备中并被点击运行后，那么当用户下次开启Skype时，窗口就会跳出"explorer.exe wants to use Skype(explorer.exe想要使用Skype)”的信息。

本文转自d1net（转载）