Win32.Troj.QQPass.ck

病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个盗取QQ号码的病毒，病毒会监视QQ登录窗口，记录键盘，把得到的信息发送的指定邮箱。

1、病毒运行后会复制自身到%system%SVOHOST.exe，并释放一个dll文件到%system%winscok.dll,在除系统分区的每个盘的根目录下生成文件sxs.exe和autorun.inf文件，使用户双击打开磁盘时会激活病毒。

2、修改注册表,添加自启动项：

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]

"SoundMam"="C:WINDOWSsystem32SVOHOST.exe"

删除如下安全软件的启动项键值：

HKLMSoftwareMicrosoftWindowsCurrentVersionRunRavTask

HKLMSoftwareMicrosoftWindowsCurrentVersionRunKvMonXP

HKLMSoftwareMicrosoftWindowsCurrentVersionRunYLive.exe

HKLMSoftwareMicrosoftWindowsCurrentVersionRunyassistse

HKLMSoftwareMicrosoftWindowsCurrentVersionRunKAVPersonal50

HKLMSoftwareMicrosoftWindowsCurrentVersionRunWinhoxt

删除QQ大盗的自启动项，防止其与自己争夺盗取QQ号：

HKLMSoftwareMicrosoftWindowsCurrentVersionRunNTdhcp

3、寻找TKillqqvir、QQAV、QQKav等qq安全进程，找到则关闭其进程。

4、加载winscok.dll，安装全局钩子对QQ登录窗口进行监视，记录QQ号码和密码。