病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
58542
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该木马为Win32平台下针对QQ聊天软件的木马型病毒，病毒复制程序至系统文件夹并伪装成系统程序(ctfnom.exe)来迷惑用户；监视/记录QQ登录帐号和密码信息、获取用户计算机名、IP地址、用户所在地、在线状态，然后通过网络把盗取的信息发送到病毒作者指定的邮箱/网站；同时病毒运行后会删除大部分反病毒软件、删除QQ密码保护软件、破坏还原精灵类软件。
1.病毒运行后隐藏病毒程序进程(只对Win9x有效.);
2.复制病毒至系统文件夹:
%system%\ctfnom.exe
3.添加注册表自启动项:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IMgpmi"="C:\\WINNT\\System32\\ctfnom.exe"
4.终止防病毒软件相关进程:
FireTray.exe
UpdaterUI.exe
TBMon.exe
SHSTAT.EXE
RAV.EXE
RAVMON.EXE
RAVTIMER.EXE
Iparmor.exe
MAILMON.EXE
KAVPFW.EXE
KmailMon.EXE
KAVStart.exe
TrojanDetector.EXE
KVFW.EXE
KAVPLUS.EXE
KWATCHUI.EXE
KPOPMON.EXE
KAV32.EXE
CCAPP.EXE
MCAGENT.EXE
MCVSESCN.EXE
MSKAGENT.EXE
EGHOST.EXE
KWatch9x.exe
KvDetech.exe
KVCenter.kxp
UIHost.exe
KATMain.EXE
5.查找包含以下字符串的窗体，并将它们关闭:
TrojDie_Frame
KvXP_ExpertFrame
JiangminRegistryMonitorEx
KVXP_Monitor
瑞星杀毒软件下载版
金山毒霸2005
卡巴斯基
反病毒单机版
WHXMDI0
SymantecAntiVirus企业版
江民杀毒软件KV2004：实时监视
RavMon.exe
RavMonClass
TfLockDownMain
ZoneAlarm
ZAFrameWnd
天网防火墙个人版
天网防火墙企业版
〖列举启动〗
木马克星
6.通过查找注册表项清除QQ密码防盗专家:
SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\密码防盗专家综合版
7.查找/删除以下相关防病毒软件服务:
RsRaVMOn
rscceNtEr
KvsrvxP
kAvSvC
kPfWSVc
KwatChSVc
wScsvc
SnDSrvc
cCprOxY
ccevTMGr
cCsetmGr
SPbbCsvC
SYmaNtEcCOreLC
nAvaPSVC
NpfmntOr
MsKSeRvICe
MCTAskMaNaGer
MCSHieLd
McafEEFrAmEwOrk
8.破坏还原精灵，使病毒转存于还原数据中。
9.删除以下防火墙自启动注册表:
RAvmOn
kavPeRsOnAL50
RaVTiMeR
RAvtaSkkvmonxP
iDUbaPErSonAlFIrewaLL
kavruN
kpOpmoN
kulAnSyN
kaVPfW
kVXp
CcApP
SsC_USeRPRoMpT
NaVCfGwiz
mCAGenTexE
mcreGWiz
MCUPdaTeeXEMsKaGeNtExE
10.病毒后台运行，监视QQ登录窗体，试图窃取QQ登录帐号、密码、IP地址、计算机名、ip归属地，并将窃取的信息发送到指定信箱/网站。
