Win32.Troj.PSWQQ,hx.52347
病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
52347
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是个盗取用户QQ帐号的木马，可以通过可移动介质传播!
1、将自身复制为%system%\svohost.exe并执行,释放文件%system%\winscok.dll,并将这两个文件设置为隐藏和系统文件属性。
2、删除以下文件：
d:\autorun.inf
d:\sxs.exe
e:\autorun.inf
e:\sxs.exe
f:\autorun.inf
f:\sxs.exe
g:\autorun.inf
g:\sxs.exe
h:\autorun.inf
h:\sxs.exe
i:\autorun.inf
i:\sxs.exe
j:\autorun.inf
j:\sxs.exe
3、在可移动磁盘根目录下生成文件autorun.inf和病毒复制体sxs.exe,并设置其为系统和隐藏文件属性。autorun.inf内容如下：
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe
shell\Auto\command=sxs.exe
4、修改注册以下表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer"NoDriveTypeAutoRun"=dword:bd
HKEY_LOCAL_MATHINE\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall"CheckedValue"=0
5、创建自启动注册表项
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\SoundMam"%system%\svohost.exe"
HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache\%system%\SVOHOST.exe"SVOHOST"
6、创建以下斥体来保证只有一个病毒体在执行：
ExeMutex_QQRobber2.0
DllMutex_QQRobber2.0
7、创建以下斥体来阻止安全软件的运行：
AntiTrojan3721
ASSISTSHELLMUTEX
SKYNET_PERSONAL_FIREWALL
KingsoftAntivirusScanProgram7Mutex
8、尝试停止并关闭以下服务：
srservice
sharedaccess
KVWSC
KVSrvXP
kavsvc
RsRavMon
RsCCenter
9、尝试查找并关闭含以下字符串的窗口：
QQKAV
防火墙
网镖
木马
杀毒
金山毒霸
噬菌体
QQAV
QQKav
TKillqqvir
10、尝试关闭以下系统进程及与安全软件相关的进程：
sc.exe、net.exe、sc1.exe、net1.exe、PFW.exe、Kav.exe、KVOL.exe、KVFW.exe、TBMon.exe、kav32.exe、kvwsc.exe、CCAPP.exe、EGHOST.exe、KRegEx.exe、kavsvc.exe、VPTray.exe、RAVMON.exe、EGHOST.exe、KavPFW.exe、SHSTAT.exe、regedit.exe、RavTask.exe、TrojDie.kxp、Iparmor.exe、MAILMON.exe、MCAGENT.exe、KAVPLUS.exe、RavMonD.exe、Rtvscan.exe、Nvsvc32.exe、KVMonXP.exe、Kvsrvxp.exe、CCenter.exe、KpopMon.exe、RfwMain.exe、regedit.exe、KWATCHUI.exe、MCVSESCN.exe、MSKAGENT.exe、kvolself.exe、KVCenter.kxp、kavstart.exe、RAVTIMER.exe、RRfwMain.exe、FireTray.exe、UpdaterUI.exe、KVSrvXp_1.exe、RavService.exe
11、删除以下与安全软件相关的启动项：
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\RavTask
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\KvMonXP
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\YLive.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\yassistse
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\NTdhcp
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Winhoxt
12、当检测到QQ运行时删除QQ的键盘保护文件npkcrypt.sys。
13、创建三个消息钩子，查找QQ登陆窗口，获得用户帐号信息后发送到指定的网站和邮箱。
