Win32.Troj.QQPass.er
病毒别名:
处理时间:2005-09-22
威胁级别:★
中文名称:
病毒类型:木马
影响系统:Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个盗取QQ密码的木马病毒。
1. 该木马运行后,首先检查%WindDir%\\help\\目录下是否存在QQZLT.CHI文件,如果存在,
则说明木马已被种植,否则,病毒会将自身复制为这个文件。
2. 木马会再复制一份到%Windir%\\help\\目录下,命名为QQPass.exe。同时从资源中释放
动态链接文件QQhook.dll和可执行文件kill.exe。然后病毒会运行kill.exe,这个文
件每隔一个小时寻找QQ进程,并将其关闭。病毒通过这种方式,可以在用户再次登
录时,获取用户密码。接着,木马将QQPass.exe建立为名为"QQmasscre"的服务,并
将其开启。
3. 被启动的"QQmasscre"服务通过加载QQhook.dll中的件键盘和鼠标钩子函数,对QQ
及TM用户进行监控。
4. 木马将盗取的密码信息利用自带的SMTP引擎发送到指定的信箱。