Win32.Troj.pswQQSteal.eg

病毒名称(中文):

病毒别名:

威胁级别:

★☆☆☆☆

病毒类型:

木马程序

病毒长度:

52012

影响系统:

Win9xWinMeWinNTWin2000WinXPWin2003

病毒行为:

该病毒是一个盗取QQ号码及密码的木马。该病毒运行后，会拷贝自身到系统目录，命名为svhost.exe，并添加启动项，使能随开机启动。该病毒通过批处理删除自身，达到隐形的目的。该病毒会结束大量安全软件进程，使用户的系统安全等级降低。该病毒会结束QQ进程，删除QQ2005的密码保护驱动文件。假如用户再次登陆，则通过键盘记录，盗取用户的QQ号码及密码，并通过邮箱及网页发送出去。

1，生成文件

%system%\svhost.exe

2，添加注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"Winhoxt"="%system%\svhost.exe"

3，卸载下列软件

密码防盗专家综合版

4，删除下列文件

%QQ%\npkcrypt.sys

%QQ%\npkmask.sys

5，关闭标题为下列字符串的窗口

SymantecAntiVirus企业版

江民杀毒软件KV2004：实时监视

ZoneAlarm

RavMon.exe

天网防火墙个人版

天网防火墙企业版

天网防火墙企业版

木马克星

6，结束下列进程

PasswordGuard.exe

KVXP.KXP

KVMonXP.KXP

EGHOST.EXE

MAILMON.EXE

KAVPFW.EXE

Sphinx.exe

VSHWIN32.EXE

VSECOMR.EXE

WEBSCANX.EXE

AVCONSOL.EXE

VSSTAT.EXE

kvsrvxp.exe

trojdie.kxp

kvmonxp.kxp

kregex.exe

ravmon.exe

ravstub.exe

ccenter.exe

ravtimer.exe

rfwmain.exe

rfwsrv.exe

_AVP32.EXE

_AVPCC.EXE

_AVPM.EXE

AVP32.EXE

AVPCC.EXE

AVPM.EXE

AVP.EXE

NAVAPW32.EXE

NAVW32.EXE

ICLOAD95.EXE

ICMON.EXE

ICSUPP95.EXE

ICLOADNT.EXE

ICSUPPNT.EXE

IFACE.EXE

ANTS.EXE

Anti-Trojan.exe

iamapp.exe

iamserv.exe

FRW.EXE

blackice.exe

blackd.exe

zonealarm.exe

vsmon.exe

WrCtrl.exe

WrAdmin.exe

cleaner3.exe

cleaner.exe

tca.exe

MooLive.exe

lockdown2000.exe

7，盗取方式

该病毒结束QQ进程，删除保护文件npkmask.sys和npkcrypt.sys，假如用户登录QQ，通过键盘记录记录QQ号及密码，并通过电子邮件发送到指定邮箱，或直接发送到指定网址。