病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是个盗取用户QQ帐号的木马。

1、将自身复制为：%Program Files%\\Common Files\\Microsoft Shared\\MSINFO\\SysInfo.dll。

2、释放文件：%Program Files%\\Common Files\\Microsoft Shared\\MSINFO\\SysInfo.wmp。

3、每隔五秒则添加以下注册表项来自启动：

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\ShellExecuteHooks\\{08315C1A-9BA9-4B7C-A432-26885F78DF28} SUCCESS ""

HKCR\\CLSID\\{08315C1A-9BA9-4B7C-A432-26885F78DF28}\\(Default) ""

HKCR\\CLSID\\{08315C1A-9BA9-4B7C-A432-26885F78DF28}\\InProcServer32\\(Default) "%Program Files%\\Common Files\\Microsoft Shared\\MSINFO\\SysInfo.wmp"

HKCR\\CLSID\\{08315C1A-9BA9-4B7C-A432-26885F78DF28}\\InProcServer32\\ThreadingModel "Apartment"

4、创建消息钩子使 %Program Files%\\Common Files\\Microsoft Shared\\MSINFO\\SysInfo.wmp 被加载到其它的进程中，当加载它的进程为 QQ.exe 时删除QQ的密码保护文件 npcrypt.sys。

5、通过获得QQ登陆窗口并截获其内容来盗取用户QQ帐号信息，并发送到指定的网站。

6、自删除。