[伪QQ程序]Trojan-PSW.Win32.QQPass.ayt专杀

Simen.Resh@d

(作者：Greysign)

一、
病毒标签：
病毒名称：
Trojan-PSW.Win32.QQPass.ayt
病毒类型：
木马

文件大小 :	100864 byte
文件类型 :	MS-DOS executable (EXE), OS/2 or MS Windows
MD5 :	e5469a59212da0287e515b54d7a1728e
SHA1 :	d0c2c4b0f998bc581acdedeb234d87c112dbbee4

公开范围：
完全公开
危害等级： D
开发工具： Microsoft Visual Basic 5.0 / 6.0

加壳类型： ASPack 2.12 -> Alexey Solodovnikov壳
命名对照：

VBA32

3.12.6.6

20080514.0257

2008-05-14

Trojan-PSW.Win32.QQPass.ayt

2.457

二、
病毒描述：



该病毒为盗号木马，运行后释放文件至系统文件夹，并盗取用户的密码等敏感信息。
三、
行为分析：

添加启动项目：


HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows "run"

Type: REG_SZ

Data: C:\WINDOWS\system32\QQ.exe
该病毒通过VB编写，伪装成QQ程序：

运行后修改了以下系统文件：

c:\WINDOWS\system.ini
释放
c:\WINDOWS\taskmgr.exe






解决方案：


删除文件：


c:\WINDOWS\taskmgr.exe
C:\WINDOWS\system32\QQ.exe




修改文件system.ini，将load=F:\WINDOWS\system32\QQ.exe这一句删除



删除注册表：


HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows "run"

Type: REG_SZ

Data: C:\WINDOWS\system32\QQ.exe


注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\ WINDODWS所在目录
%DriveLetter%\ 逻辑驱动器根目录
%ProgramFiles%\ 系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录

A级
大面积感染流行，并具有以下条件中的任意一个给网络造成严重压力、开有后门、反制AV技术。
B级
有一定的感染流行面积，或者有鲜明的技术特点值得进一步关注，或为既往A级蠕虫比较成熟的变种
C级
有少量感染流行，或虽然有一定感染流行面积，但是既往B级蠕虫变种。
D级
有极少量感染流行，但有一定潜在威胁。
E级
没有发现感染流行。

专杀下载请点击此处

本拉登

杀了杀了   现在不知道我机器里有多少病毒

Simen.Jam`

这是好东西。 .
不过我不用。
我装正版卡巴斯基...  呵呵~外带还原保护卡...
没什么问题..

佳鸡脚

下来用一用