Win32.Troj.qqPass.af

病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个盗取QQ号码的病毒，病毒会监视QQ登录窗口，记录键盘，把得到的信息发送的指定邮箱

1、病毒运行后会复制自身到%system%QQhx.exe、%system%vipbkv.exe，并释放dll文件到%system%vipbkv.dll,在除系统分区的每个盘的根目录下生成文件sxs.exe和autorun.inf文件，使用户双击打开磁盘时会激活病毒。

2、修改注册表,添加自启动项：

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]

"J3D5D5"="C:WINDOWSsystem32vipbkv.exe"

删除如下安全软件的启动项键值：

HKLMSoftwareMicrosoftWindowsCurrentVersionRunRavTask

HKLMSoftwareMicrosoftWindowsCurrentVersionRunKvMonXP

HKLMSoftwareMicrosoftWindowsCurrentVersionRunYLive.exe

HKLMSoftwareMicrosoftWindowsCurrentVersionRunyassistse

HKLMSoftwareMicrosoftWindowsCurrentVersionRunKAVPersonal50

HKLMSoftwareMicrosoftWindowsCurrentVersionRunWinhoxt

删除QQ大盗的自启动项，防止其与自己争夺盗取QQ号：

HKLMSoftwareMicrosoftWindowsCurrentVersionRunNTdhcp

3、寻找TKillqqvir、QQAV、QQKav等qq安全进程，找到则关闭其进程。

4、加载vipbkv.dll，安装全局钩子对QQ登录窗口进行监视，记录QQ号码和密码。

5、连接网络，利用病毒自带的发邮件引擎将记录的信息发送到指定邮箱。