时下网络犯罪分子们在运作时所使用的工具，包含Twitter推特的垃圾讯息（Twitter spam）和傀儡僵尸网络工具（利用 Twitter 讯息下达指令的恶意程序），假POS销售点工具（fake point-of-sale (POS) devices），及DDoS分散式服务阻断型攻击工具（黑客在Youtube 上卖DDoS 工具，售价15美金）。现在要和大家分享另一款特别会影响到中文在线游戏玩家的工具。
中国拥有庞大的在线游戏人口。一份最近发表的研究（a recently published study）声称，中国在2009年共有6千8百万名的游戏玩家，此人口数预期将在2014年增加到1亿4千1百万人。
而随着游戏产业的持续发展，网络犯罪分子也从中取得良机，通过贩卖从偷盗来的游戏帐户中所抽取出的虚拟资产来赚取暴利。
就如同先前所说的不同的工具一样，网络犯罪分子也运用的Trojan木马产生器，窃取线上游戏帐户。 “响尾马”（Xian Wei Ma 或 XWM，中文意思为“响着尾巴的Trojan木马”）是一套热门的中文Trojan木马工具组。XWM工具组的主要特色是，它不只是Trojan木马的产生器，同时更是后台服务器，可用来接收或整理窃得的资料，让犯罪分子的运作更加便利。
XWM工具组包括21个Trojan木马产生器，可针对国内不同的热门线上游戏，多数皆为当地的游戏（见图1）。
这些产生器在产生新的Trojan木马前需要进行部分的设定。使用者需要输入后台服务器的URL才能从Trojan木马接收偷盗来的资料。
图2、输入可传送窃得资料之URL的操控台
被受害人系统上执行时，所产生的Trojan木马会投掷下列的档案：
%system32%{4个随机字母}.dll
%system32%{4个随机字母}.cfg
%system32%driversmsacpe.sys
.DLL档案程序是安置在系统的内存中，用来偷盗帐户资料及将资料传送回给使用以下字串做为URL参数的后台服务器：
?a=%s&s=%s&u=%s&p=%sr=%s[%s]&l=%d&m=%d&pin=%s
上述的参数有8种变化，用来传送窃得的资料回后台服务器。参数的变化定义如下：
‘a’ — 线上游戏服务器区域
‘s’ — 服务器名称
‘u’ — 使用者名称
‘p’ — 密码
‘r’ — 角色
‘l’ — 层级
‘m’ — 虚拟货币
‘pin’ — PIN个人辨识码
偷盗得的资料接着被传送到后台服务器的URL中，URL是包含在 .CFG档案程序中。网络犯罪分子跟着通过特别设计的主网页，来进入存储了所有偷盗资料的后台服务器。
贩卖这套工具的网络犯罪分子甚至还提供了示范页面，其中展示了一份应该是偷盗得的资料列表，以显示该套工具的性能。
图3、工具组示范页面
其中的危险不只是在此套工具有能力挑起攻击，同时更在于其容易取得的程度。愈多的人使用此套工具组，就有更多的人会受害。因此也就会有更多的网络犯罪分子受到鼓励来进行他们的运作。这再一次证明科技能为我们让许多事变得更便利，也很不幸的是，对网络犯罪分子们来说也是如此。
