Win32.Troj.PswQQ.p
威胁级别：★
病毒类型：木马
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个能把自己注入Explorer.exe进程的病毒,它能盗取用户的QQ密码
1:拷贝与释放文件
病毒运行后,会把自己拷贝到下面的文件夹中:
C:Program FilesOutlook Express
并命名为xyqq(没有扩展名),并在同一目录下释放
一个名为newqq.dll的文件,此文件也是个病毒,病毒名为Win32.Troj.PswQQ.p.46725
2:修改注册表
病毒会修改以下两处注册表键值
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks
{25E1EECB-E580-4032-97A2-A456D33820D1}
HKEY_CLASSES_ROOTCLSID{25E1EECB-E580-4032-97A2-A456D33820D1}InProcServer32
默认 -> C:Program FilesOutlook Express
ewqq.dll
ThreadingModel -> Apartment
使自己能随Windows启动,并插入到Explorer.exe进程空间中运行
3:盗取QQ密码
病毒会删除QQ密码保护文件npkcrypt.sys,使QQ密码保护失效,
并读取用户输入的QQ登录号码与密码,并把它们经过简单的加密后
记录在C:myok.exe文件中,之后再把该文件通过邮件的方式发送到
黑客事前指定的邮箱中,使用户的QQ号码丢失.