病毒标签

病毒描述

行为分析

病毒标签

病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒描述

这是个盗取用户QQ帐号的木马，可以通过可移动介质传播!

行为分析

1、将自身复制为 %system%\\svohost.exe并执行,释放文件 %system%\\winscok.dll,并将这两个文件设置为隐藏和系统文件属性。

2、删除以下文件：

d:\\autorun.inf

d:\\sxs.exe

e:\\autorun.inf

e:\\sxs.exe

f:\\autorun.inf

f:\\sxs.exe

g:\\autorun.inf

g:\\sxs.exe

h:\\autorun.inf

h:\\sxs.exe

i:\\autorun.inf

i:\\sxs.exe

j:\\autorun.inf

j:\\sxs.exe

3、在可移动磁盘根目录下生成文件 autorun.inf 和病毒复制体 sxs.exe,并设置其为系统和隐藏文件属性。autorun.inf内容如下：

[AutoRun]

open=sxs.exe

shellexecute=sxs.exe

shell\\Auto\\command=sxs.exe

4、修改注册以下表项：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer "NoDriveTypeAutoRun"=dword:bd

HKEY_LOCAL_MATHINE\\software\\microsoft\\windows\\currentversion\\explorer\\advanced\\folder\\hidden\\showall "CheckedValue"=0

5、创建自启动注册表项

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\SoundMam "%system%\\svohost.exe"

HKCU\\Software\\Microsoft\\Windows\\ShellNoRoam\\MUICache\\%system%\\SVOHOST.exe "SVOHOST"

6、创建以下斥体来保证只有一个病毒体在执行：

ExeMutex_QQRobber2.0

DllMutex_QQRobber2.0

7、创建以下斥体来阻止安全软件的运行：

AntiTrojan3721

ASSISTSHELLMUTEX

SKYNET_PERSONAL_FIREWALL

KingsoftAntivirusScanProgram7Mutex

8、尝试停止并关闭以下服务：

srservice

sharedaccess

KVWSC

KVSrvXP

kavsvc

RsRavMon

RsCCenter

9、尝试查找并关闭含以下字符串的窗口：

QQKAV

防火墙

网镖

木马

杀毒

金山毒霸

噬菌体

QQAV

QQKav

TKillqqvir

10、尝试关闭以下系统进程及与安全软件相关的进程：

sc.exe、net.exe、sc1.exe、net1.exe、PFW.exe、Kav.exe、KVOL.exe、KVFW.exe、TBMon.exe、kav32.exe、kvwsc.exe、CCAPP.exe、EGHOST.exe、KRegEx.exe、kavsvc.exe、VPTray.exe、RAVMON.exe、EGHOST.exe、KavPFW.exe、SHSTAT.exe、regedit.exe、RavTask.exe、TrojDie.kxp、Iparmor.exe、MAILMON.exe、MCAGENT.exe、KAVPLUS.exe、RavMonD.exe、Rtvscan.exe、Nvsvc32.exe、KVMonXP.exe、Kvsrvxp.exe、CCenter.exe、KpopMon.exe、RfwMain.exe、regedit.exe、KWATCHUI.exe、MCVSESCN.exe、MSKAGENT.exe、kvolself.exe、KVCenter.kxp、kavstart.exe、RAVTIMER.exe、RRfwMain.exe、FireTray.exe、UpdaterUI.exe、KVSrvXp_1.exe、RavService.exe

11、删除以下与安全软件相关的启动项：

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\RavTask

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\KvMonXP

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\YLive.exe

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\yassistse

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\KAVPersonal50

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\Tdhcp

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Winhoxt

12、当检测到QQ运行时删除QQ的键盘保护文件npkcrypt.sys。