[伪QQ程序]Trojan-PSW.Win32.QQPass.ayt查杀

一、 病毒标签：病毒名称： Trojan-PSW.Win32.QQPass.ayt

病毒类型： 木马

公开范围： 完全公开危害等级： D开发工具： Microsoft Visual Basic 5.0 / 6.0

加壳类型： ASPack 2.12 -> Alexey Solodovnikov壳命名对照：

二、 病毒描述：

该病毒为盗号木马，运行后释放文件至系统文件夹，并盗取用户的密码等敏感信息。

三、 行为分析：

添加启动项目：

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows "run"

Type: REG_SZ

Data: C:\WINDOWS\system32\QQ.exe

该病毒通过VB编写，伪装成QQ程序：

运行后修改了以下系统文件：

c:\WINDOWS\system.ini

释放

c:\WINDOWS\taskmgr.exe

删除文件：

c:\WINDOWS\taskmgr.exe

C:\WINDOWS\system32\QQ.exe

修改文件system.ini，将load=F:\WINDOWS\system32\QQ.exe这一句删除

删除注册表：

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows "run"

Type: REG_SZ

Data: C:\WINDOWS\system32\QQ.exe

www.newjian.com