Win32.Troj.qqPass.af

病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个盗取QQ号码的病毒，病毒会监视QQ登录窗口，记录键盘，把得到的信息发送的指定邮箱

1、病毒运行后会复制自身到%system%\\QQhx.exe、%system%\\vipbkv.exe，并释放dll文件到%system%\\vipbkv.dll,在除系统分区的每个盘的根目录下生成文件sxs.exe和autorun.inf文件，使用户双击打开磁盘时会激活病毒。

2、修改注册表,添加自启动项：

[HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run]

"J3D5D5"="C:\\WINDOWS\\system32\\vipbkv.exe"

删除如下安全软件的启动项键值：

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\RavTask

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\KvMonXP

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\YLive.exe

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\yassistse

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\KAVPersonal50

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Winhoxt

删除QQ大盗的自启动项，防止其与自己争夺盗取QQ号：

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\NTdhcp

3、寻找TKillqqvir、QQAV、QQKav等qq安全进程，找到则关闭其进程。

4、加载vipbkv.dll，安装全局钩子对QQ登录窗口进行监视，记录QQ号码和密码。

5、连接网络，利用病毒自带的发邮件引擎将记录的信息发送到指定邮箱。