找回密码
 立即注册

QQ登录

只需一步,快速开始

查看: 1858|回复: 3

[伪QQ程序]Trojan-PSW.Win32.QQPass.ayt专杀

[复制链接]

该用户从未签到

发表于 2008-5-16 11:02:42 | 显示全部楼层 |阅读模式
(作者:Greysign)

一、
病毒标签:
病毒名称:
Trojan-PSW.Win32.QQPass.ayt
病毒类型:
木马


文件大小 :



100864 byte



文件类型 :



MS-DOS executable (EXE), OS/2 or MS Windows



MD5 :



e5469a59212da0287e515b54d7a1728e



SHA1 :



d0c2c4b0f998bc581acdedeb234d87c112dbbee4



公开范围:
完全公开
危害等级: D
开发工具: Microsoft Visual Basic 5.0 / 6.0

加壳类型: ASPack 2.12 -> Alexey Solodovnikov
命名对照:


VBA32



3.12.6.6



20080514.0257



2008-05-14



Trojan-PSW.Win32.QQPass.ayt



2.457




二、
病毒描述:



该病毒为盗号木马,运行后释放文件至系统文件夹,并盗取用户的密码等敏感信息。
三、
行为分析:

添加启动项目:


HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows "run"


Type: REG_SZ


Data: C:\WINDOWS\system32\QQ.exe

该病毒通过VB编写,伪装成QQ程序:

运行后修改了以下系统文件:

c:\WINDOWS\system.ini

释放
c:\WINDOWS\taskmgr.exe






解决方案:


删除文件:


c:\WINDOWS\taskmgr.exe
C:\WINDOWS\system32\QQ.exe




修改文件system.ini,将load=F:\WINDOWS\system32\QQ.exe这一句删除



删除注册表:


HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows "run"

Type: REG_SZ


Data: C:\WINDOWS\system32\QQ.exe



注:%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32windows95/98/me中默认的安装路径是C:\Windows\SystemwindowsXP中默认的安装路径是C:\Windows\System32
%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\ WINDODWS所在目录
%DriveLetter%\ 逻辑驱动器根目录
%ProgramFiles%\ 系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录

A级
大面积感染流行,并具有以下条件中的任意一个给网络造成严重压力、开有后门、反制AV技术。

B级

有一定的感染流行面积,或者有鲜明的技术特点值得进一步关注,或为既往A级蠕虫比较成熟的变种

C级

有少量感染流行,或虽然有一定感染流行面积,但是既往B级蠕虫变种。

D级

有极少量感染流行,但有一定潜在威胁。

E级

没有发现感染流行。


专杀下载请点击此处

该用户从未签到

发表于 2008-5-16 11:16:58 | 显示全部楼层
杀了杀了   现在不知道我机器里有多少病毒

该用户从未签到

发表于 2008-5-16 14:20:21 | 显示全部楼层
这是好东西。 .
不过我不用。
我装正版卡巴斯基...  呵呵~外带还原保护卡...
没什么问题..

该用户从未签到

发表于 2012-11-18 22:23:23 | 显示全部楼层
下来用一用
回复 鲜花 鸡蛋

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表