Win32.Troj.QQPass.md

病毒别名： 处理时间：2006-09-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个盗取QQ号码的木马。病毒运行后会将QQ安全锁文件npkcrypt.sys改名为npkcrypt.bak，使安全锁失效，并安装键盘钩子，记录键盘。

1、病毒运行后会首先查找系统目录下是否有如下病毒文件：

%system%\\hook.dll

%system%\\SVCH0ST.EXE

如果没有则生成。

注意"SVCH0ST.EXE"中间的是数字零,病毒以此伪装成系统文件。

2、病毒运行SVCH0ST.EXE病毒文件，生成_deleteme.bat文件，病毒结束自身进程后删除自身。

3、添加如下注册表键值以便开机自动运行

[HKLM\\SoftWare\\Microsoft\\Windows\\CurrentVersion\\Run]

"AutoRun"="C:\\WINDOWS\\system32\\SVCH0ST.EXE"

4、SVCH0ST.EXE运行后加载hook.dll，将QQ目录下的npkcrypt.sys文件改名为npkcrypt.bak，使QQ的键盘安全锁失效。

5、安装全局钩子对系统进行监视，记录键盘。

6、连接网络，提交密码。