Win32.PSWTroj.QQ.nh.80104

病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是个盗取用户QQ帐号的木马！

1、复制自身为：%Program Files%Common FilesMicrosoft SharedMSINFOSysInfo.dll

2、释放文件：%Program Files%Common FilesMicrosoft SharedMSINFOSysInfo.wmp

3、对explorer.exe进行注入，被注入后的explorer.exe会设置一个计时器不停的修改注册表项：

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks{08315C1A-9BA9-4B7C-A432-26885F78DF28} ""

HKCRCLSID{08315C1A-9BA9-4B7C-A432-26885F78DF28}(Default) ""

HKCRCLSID{08315C1A-9BA9-4B7C-A432-26885F78DF28}InProcServer32(Default) "%Program Files%Common FilesMicrosoft SharedMSINFOSysInfo.wmp"

HKCRCLSID{08315C1A-9BA9-4B7C-A432-26885F78DF28}InProcServer32ThreadingModel "Apartment"

4、启动IE访问网络。

5、SysInfo.wmp会判断加载自己的进程名，如果是QQS003TP.Exe(QQ安全检查主程序)则结束该进程，如果是QQ.exe则删除QQ.exe同一目录下的文件npkcrypt.sy。

6、创建键盘和鼠标钩子。

7、获取QQ登陆窗口，截获QQ帐号信息后发送到指定邮箱。

8、通过QQ聊天窗口发送自身的复制体。