Win32.PSWTroj.Mir.faf
病毒别名： 处理时间：2006-12-06 威胁级别：★
中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是个盗取用户QQ帐号的木马。
1、将自身复制为：%system%vpcrm.exe，并释放文件：%system%Driversusbme.sys。
2、通过查询注册表获得QQ安装目录，然后将正常的QQ文件 TIMPlatform.exe 复制为 TIMPlatfrom.exe,并将自身复制为 TIMPlatform.exe。
3、检查以下注册表键值是否为默认的正常的键值，如果不是则将其修改为默认的正常的键值：
HKCRexefileshellopencommand
HKCR.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonShell
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonUserinit
HKCUSOFTWAREMicrosoftWindows NTCurrentVersionWindowsload
4、删除以下注册表项键值：
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindowsShell
5、如果用户操作系统是NT操作系统则尝试删除文件：%system%Winlogon.exe，并结束以下进程：
SERVICES.EXE,SMSS.EXE,CSRSS.EXE,WINLOGON.EXE,LSASS.EXE,SVCHOST.EXE,ALG.EXE,TIMPLATFORM.EXE,RUNDLL32.EXE
6、对进程SVCHOST.EXE进行注入。
7、通过获得QQ游戏窗口的方式获取用户帐号信息并发送到指定网址。