Trojan/QQMsg.WhBoy.cm

病毒长度：56,832 字节

病毒类型：木马

危害等级：*

影响平台：Win9X/2000/XP/NT/Me/2003

Trojan/QQMsg.WhBoy.cm通过QQ发送短消息的形式,发送指向病毒的URL链接进行传播，还发送传奇密码和装备信息到域名为163.com的邮箱。

病毒的传播过程及特征：

1.首先检查标题为"Xleo"的窗口是否已经打开（用来测定病毒是否已经在运行），如果没有那么就创建一个名为"Xleo"的窗口。

2.试图用记事本程序运行 sesnot.exe

3.在系统目录下生成隐藏文件：sesnot.exe uddater.exe ssttare.exe

4.修改注册表：

[HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command]

"(default)" = "%System%\\sesnot.exe %1"

[HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices]

"windows update" = "%System%\\uddater.exe"

[HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon]

"Shell" = "Explorer.exe %System%\\ssttare.exe"

5.在System.ini文件里添加shell=Explorer.exe %System%\\ssttare.exe

6.结束进程：Eghost.exe Iparmor.exe

7.关闭标题为RAVMon的窗口。

8.查看是否运行QQ程序，一旦发现目标程序便插入一个指向病毒的URL，通过发送URL，诱骗用户点击，达到下载病毒的目的。

注：%Windir%为变量，一般为C:\\Windows 或 C:\\Winnt；

%System%为变量，一般为C:\\Windows\\System (Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000),

或 C:\\Windows\\System32 (Windows XP)。