威胁级别：★

病毒类型：木马

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个能把自己注入Explorer.exe进程的病毒,它能盗取用户的QQ密码

1:拷贝与释放文件

病毒运行后,会把自己拷贝到下面的文件夹中:

C:\\Program Files\\Outlook Express

并命名为xyqq(没有扩展名),并在同一目录下释放

一个名为newqq.dll的文件,此文件也是个病毒,病毒名为Win32.Troj.PswQQ.p.46725

2:修改注册表

病毒会修改以下两处注册表键值

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\ShellExecuteHooks\\

{25E1EECB-E580-4032-97A2-A456D33820D1}

HKEY_CLASSES_ROOT\\CLSID\\{25E1EECB-E580-4032-97A2-A456D33820D1}\\InProcServer32

默认 -> C:\\Program Files\\Outlook Express\ewqq.dll

ThreadingModel -> Apartment

使自己能随Windows启动,并插入到Explorer.exe进程空间中运行

3:盗取QQ密码

病毒会删除QQ密码保护文件npkcrypt.sys,使QQ密码保护失效,

并读取用户输入的QQ登录号码与密码,并把它们经过简单的加密后

记录在C:\\myok.exe文件中,之后再把该文件通过邮件的方式发送到

黑客事前指定的邮箱中,使用户的QQ号码丢失.