病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
偷密码的木马
病毒长度:
167936
影响系统:
Win9xWin2000WinXP
病毒行为:
该病毒是一个盗号木马.病毒运行后会生成一个DLL文件，并把DLL文件注入到进程当中.通过监视QQ登录窗口盗取用户的QQ账号和密码.
1.生成文件:
C:\ProgramFiles\CommonFiles\MicrosoftShared\MSInfo\atmQQ2.dll
2.生成CLSID组件
HKEY_CLASSES_ROOT\CLSID\{D544C22D-1F70-4B1E-873D-D8DABEB26695}
HKEY_CLASSES_ROOT\CLSID\{D544C22D-1F70-4B1E-873D-D8DABEB26695}
Default=""
HKEY_CLASSES_ROOT\CLSID\{D544C22D-1F70-4B1E-873D-D8DABEB26695}\InProcServer32
HKEY_CLASSES_ROOT\CLSID\{D544C22D-1F70-4B1E-873D-D8DABEB26695}\InProcServer32
Default="C:\ProgramFiles\CommonFiles\MicrosoftShared\MSINFO\atmQQ2.dll"
HKEY_CLASSES_ROOT\CLSID\{D544C22D-1F70-4B1E-873D-D8DABEB26695}\InProcServer32
ThreadingModel="Apartment"
3.修改注册表,增加启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{D544C22D-1F70-4B1E-873D-D8DABEB26695}
4.病毒运行后会删除QQ医生的执行文件QQDoctor\QQDoctor.exe
5.病毒运行后会登录www.ip.cn网站来获得客户机器的IP地址.
6.病毒运行后会通过监视QQ登录窗口的方式截获客户QQ的账号,密码.然后把获得的QQ的相关资料发送到木马种植者的邮箱.
7.在病毒源文件的同目录下生成一个BT.BAT文件用于删除病毒文件自身.