Trojan-PSW.Win32.QQRob.cb
病毒名称： Trojan-PSW.Win32.QQRob.cb
病毒类型： 木马
文件 MD5： DBBEAB412F32CD7745ED17E24A314CE2
公开范围： 完全公开
危害等级： 中
文件长度： 118,959 字节
感染系统： Windows 98及以上版本
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： 无
命名对照： Symentec[无]
Mcafee[无]
病毒描述：
该病毒属木马类,病毒主要以窃取感染主机上的OICQ密码为主要目的，病毒运行后复制原病毒副本到%SYSTEM32%NTdHcP.exe下，而后释放一个.bat文件删除原病毒副本，病毒修改注册表文件，添加到启动项，添加到系统服务。通过遍历系统当前进程，尝试终止某些反病毒及安全软件的进程，关闭含有某些字符串的窗口。连接网络，尝试现在病毒相关文件到本地运行。该病毒对用户有一定的危害。
行为分析：
1、 复制原病毒副本到：%SYSTEM32%NTdHcP.exe
文件属性：系统、隐藏、只读
2、 修改注册表文件:
HKEY_LOCAL_METHINESoftWareMicrosoftWindows
CurrentVersionRun
键值：字串："NTdhcp" = "%SYSTEM%NTdhcp.exe"
删除以下位置的注册表键值，使得某些反病毒及安全软件失效：
HEYK_LOCAL_METHINESYSTEMCurrentControlSetServices
键值如：
ccSetMgr
SPBBCSvc
Symantec Core L
NPFMntor
MskService
FireSvc
McShield
McTaskManager
McAfeeFramework
......
删除以下位置的注册表键值，使得某些反病毒及安全软件失效：
HEYK_LOCAL_METHINESoftWareMicrosoftWindowsCurrentVersionRun
键值如：
RavMon
KAVPersonal50
KvMonXP
iDuba Personal FireWall
RavTimer
RavTask
3、连接：http：//alaqq1****322.org/***g，尝试下载病毒相关文件到
%systemdriver%
ew.exe，而后运行。
4、遍历系统当前进程，尝试终止以下进程：
FireTray.exe
UpdaterUI.exe
TBMon.exe
SHSTAT.EXE
RAV.EXE
RAVMON.EXE
RAVTIMER.EXE
Iparmor.exe
KAVPFW.EXE
KmailMon.EXE
KAVStart.exe
TrojanDetector.EXE
KVFW.EXE
KAVPLUS.EXE
5、关闭含有以下字符串的窗口：
还原精灵
还原精灵
还原精灵 DEMO
还原精灵 DEMO
还原精灵21st
还原精灵21st
还原精灵21st DEMO
……
还原精灵21st DEMO
TrojDie_Frame
KvXP_ExpertFrame
Jiangmin Registry Monitor Ex
KVXP_Monitor
Symantec AntiVirus
RavMon.exe
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%SYSTEM32%NTdHcP.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_METHINESoftWareMicrosoft
WindowsCurrentVersionRun
键值：字串："NTdhcp" = "%SYSTEM%NTdhcp.exe"