病毒别名： 处理时间：2006-08-28 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是个盗QQ号码的木马。

1、病毒会释放 new123.dll 和 new123.sys 这两个文件到 %Program files%\\Internet Explorer\\PLUGINS 目录下，其中new123.dll是病毒复制体。

删除QQ的密码保护文件npkcrypt.sys。

2、添加如下注册表键值，使病毒随系统启动。

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\ShellExecuteHooks\\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB} ""

HKCR\\CLSID\\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB}\\(Default) ""

HKCR\\CLSID\\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB}\\InProcServer32\\(Default) "%Program files%\\Internet Explorer\\PLUGINS\ew123.sys"

HKCR\\CLSID\\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB}\\InProcServer32\\ThreadingModel "Apartment"

HKCU\\Software\\Ms\\QqCjb\\DL "2"

3、创建消息钩子，使得很多进程加载释放的病毒文件new123.sys。

4、查找 Tencent_QQBar 和 Tencent_QQToolBar这两个窗口，获得QQ用户的帐号信息并发送到指定邮箱。

5、删除病毒原文件。