病毒标签：

病毒描述：

清除方案：

病毒标签：

病毒名称： Trojan/Win32.QQPass.fww[stealer]

病毒类型： 木马

文件 MD5： 6155E2A6124D464090A5995CC10BCC5E

公开范围： 完全公开

危害等级： 4

文件长度： 47,388 字节

感染系统： Windows98以上版本

开发工具： Borland Delphi 6.0-7.0[Overlay]

加壳类型： WinUpack 0.39 final -> By Dwing

病毒描述：

该病毒为QQ钓鱼恶意插件木马，病毒运行后动态创建假QQ系统消息窗口，遍历进程查找QQ.exe进程，查找QQ的托盘图标的句柄，打开explorer.exe的进程的系统托盘图标，添加注册表启动项，达到开机启动目的，衍生win.ini文件到%Windir%目录下，该文本用来存放加密的网站信息及当前更新版本信息，隐藏开启iexplore.exe进程连接网站记录统计信息，查找IE窗口标题，判断是否处理活动状态，如果则向该窗体发送关闭消息，动态运行假QQ系统消息托盘图标，遍历进程查找部分安全软件进程，找到进程后强行结束安全软件进程，并添加映像劫持、劫持多款安全软件进程，修改hosts文件、添加域名劫持，使用attrib将文件属性设置为系统文件、并设置为隐藏，该病毒运行后在桌面右下角出现闪动窗口，当用户点击后，显示腾讯消息提示用户中奖信息！当用户点击详情后连接一个网址要求用户输入中奖验证码验证、欺骗用户办理汇款手续领取现金从中谋利。

清除方案：

1、使用安天防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

（1）使用ATOOL管理工具，“进程管理“结束以下病毒进程：

iexplore.exe、病毒名.exe

恢复本地hosts文件

（2） 强行删除病毒下载的大量病毒文件

%Windir%\\win.ini

（3）删除病毒添加的注册表启动项及劫持的安全软件项

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies\\Explorer\\run\\qq20009

删除RUN键下的qq20009键

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft Windows NT\\CurrentVersion\\Image File Execution Options\\被映像劫持的文件名称

删除Image File Execution Options键下所有键值