一、综述：

1、病毒标签：TrojanSpy.win32.QQTail.F

病毒名称： 小燕病毒

病毒类型： 蠕虫

危害等级： 高

文件长度： 解压前： 14,336 字节，解压后 : 34,304 字节

感染系统： Windows所有版本(win3.x除外)

编写语言： Borland C++ Builder 6.0

加壳类型： UPX

2、说明：

该病毒是利用 MS04025漏洞的传播的邮件蠕虫,窃取用户网上银行信息。首先邮件内是一个MHT文件，文件内容分为三段、一段显示内置的JPG照片，一段解码，最后一段是EXE执行体，在没有打补丁的系统上运行后，会释放出来4个文件 help.htm help.js test.exe TEST.TXT 通过，释放出来的4文件会在.EXE执行后被删除。test.exe为C++语言编写， Borland C++ 编译 .运行条件中需要borlndmm.dll、 cc3260mt.dll、 rtl60.dll、 stlpmt45.dll 、rtl60.bpl.等文件。但因运行库问题，这个文件在大多数系统上是无法正常运行的。即使文件齐全，它修改的Clipsrv服务也无法正常启动。在一定程度上降低了病毒传播的速度。

二、 代码分析

1. 关闭 Clipsrv 服务， Clipsrv 是“剪贴簿查看器”储存信息并与远程计算机共享。

2. 拷贝自身到系统目录下 .

3. 替换 ClipSrv 服务，设置其指向自身文件： C1ipsrv.exe, 以字母 l 和数字 1 混淆逃避检测

4: 提升自身权限

5: 采用远程线程注入方式，使查杀困难。

6: 病毒体那存在发送邮件的定义字符串，但没有相关发送邮件函数 . 另外关于网络的函数也只有接口还没有相关代码。推测，这个病毒还没有完成。