病毒别名： 处理时间：2006-12-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是个盗取用户QQ帐号的木马。

1、将自身复制为：%system%\\vpcrm.exe，并释放文件：%system%\\Drivers\\usbme.sys。

2、通过查询注册表获得QQ安装目录，然后将正常的QQ文件 TIMPlatform.exe 复制为 TIMPlatfrom.exe,并将自身复制为 TIMPlatform.exe。

3、检查以下注册表键值是否为默认的正常的键值，如果不是则将其修改为默认的正常的键值：

HKCR\\exefile\\shell\\open\\command

HKCR\\.exe

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Shell

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Userinit

HKCU\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\load

4、删除以下注册表项键值：

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\Shell

5、如果用户操作系统是NT操作系统则尝试删除文件：%system%\\Winlogon.exe，并结束以下进程：

SERVICES.EXE,SMSS.EXE,CSRSS.EXE,WINLOGON.EXE,LSASS.EXE,SVCHOST.EXE,ALG.EXE,TIMPLATFORM.EXE,RUNDLL32.EXE

6、对进程SVCHOST.EXE进行注入。

7、通过获得QQ游戏窗口的方式获取用户帐号信息并发送到指定网址。