病毒名称，是一个QQ尾巴病毒。它会通过QQ用户聊天时自动传播。

简介

病毒行为

行为分析

简介

威胁级别：★

病毒类型：蠕虫

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为

该病毒是一个QQ尾巴病毒。它会通过QQ用户聊天时自动传播。

建议电脑用户在使用QQ聊天时不要随便点击其中不名链接，以免中毒受害。

行为分析

1、生成的文件

%SystemRoot%\\WNILOGON.exe

%SystemRoot%\\system32\\QW.exe

%SystemRoot%\\system32\\lhm.dll

%SystemRoot%\\高清晰美女录像.pif

%SystemRoot%\\你最想要的东东.pif

%SystemRoot%\\让美女失色的泰国人妖II.pif

%SystemRoot%\\看得让人感动的流泪的动画.pif

%SystemRoot%\\绝色倾城MM秀.pif

%SystemRoot%\\.pif

2、添加注册表启动项

HKCU\\SoftWare\\Microsoft\\Windows\\CurrentVersion\\Run

"WNILOGON" = "%SystemRoot%\\WNILOGON.exe"

3、不停的修改txt文件关联

HKCR\\txtfile\\shell\\open\\command

"(Default)" = "%SystemRoot%\\system32\\QW.exe "%1""

4、删除下列相关启动项

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\KAVPersonal50

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\KvMonXP

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\YLive.exe

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\yassistse

5、使系统总是不显示隐藏文件

HKLM\\software\\microsoft\\windows\\currentversion\\explorer\\advanced\\folder\\hidden\\showall

"CheckedValue" = "0"

6、读取http://msg. cd***.com/internet/ie.txt内容设置ie主页等相关项。

7、监视QQ聊天窗口，将http://msg . cd***.com/internet/ie2.txt内容添加到输入窗口然后自动发送出去。

8、读取http://msg . cd***.com/internet/down.txt，按其内容下载并执行其他病毒。

9、结束写列名称进程

防火墙

网镖

木马

QQKav

QQAV

TKillqqvir

qqav

TApplication

10、该病毒保存了一些加密信息

lqrs>*)nwb(``642*fin+lhwawhfp*of5+r{p

=

http :// msg . cd***.com/internet/ie1.txt

lqrs>*)nwb(``642*fin+lhwawhfp*of6+r{p

=

http ://msg . cd***.com/internet/ie2.txt

lqrs>*)nwb(``642*fin+lhwawhfp*blsk(w|q

=

http ://msg. cd***.com/internet/down.txt