Trojan-PSW.Win32.QQPass.fq - 王朝网络宽屏版

病毒名称：Trojan-PSW.Win32.QQPass.fq

病毒类型：木马类

危害等级：中

文件长度：66,343 字节

文件MD5：abefbfe285bc48d6bd6fed9488715032

公开范围：完全公开

感染系统：Win9x以上所有版本

加壳类型：NSPack 3.x -> Liu Xing Ping *

开发工具：Borland Delphi 6.0 - 7.0

病毒描述：

该病毒属木马类。病毒运行后在%System32\%释放病毒副本svchsot.exe，之后修改注册表文件，添加IE的shell扩展项,以达到记录键盘敲击内容的目的。该病毒会记录邮件密码和QQ密码等个人信息，而后尝试连接网址*.*.40.55:12000,下载一个名为abwsg6gh的文件。该病毒对用户有一定的危害。

行为分析：

1、该病毒运行后在系统目录释放病毒副本

%system32\%svchsot.exe Trojan-PSW.Win32.QQPass.fq

%Program FilesCommon FilesMicrosoft SharedMSInfo%fuckrav.dll

Trojan-Spy.Win32.Delf.nz

2、新建注册表项：

HKLMSoftwareMicrosoftWindowsCurrentVersion

ExplorerShellExecuteHooks

fuckrav.dll%program filescommon files

microsoft sharedmsinfofuckrav.dll%

HKEY_CURRENT_USERSoftwareMicrosoftWindows

CurrentVersionExplorerStreamMRU55 HKEY_LOCAL_MACHINE

SOFTWAREMicrosoftIE SetupSetupchat

HKEY_LOCAL_MACHINESOFTWAREMicrosoftIE SetupSetuppass

HKEY_LOCAL_MACHINESOFTWAREMicrosoftIE SetupSetupRecMail

HKEY_LOCAL_MACHINESOFTWAREMicrosoftIE SetupSetupSendMail

HKEY_LOCAL_MACHINESOFTWAREMicrosoftIE SetupSetupServe

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesMCNAHook.SYS

DisplayName

值: 字符串: "MCNAHook.SYS"

3、病毒会尝试连接下列网址：

***.***.40.55:12000

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

与病毒名称同名进程.

(2) 删除病毒文件

%system32\%svchsot.exe