基本介紹
- 病毒類型：木馬類
- 公開範圍： 完全公開
- 感染系統： windows98以上版本
- 開發工具：Microsoft VisualC++6.0
1病毒簡述,2病毒描述,3清除方案,
1病毒簡述
病毒名稱： Trojan-PSW.Win32.QQPass.ia
病毒類型： 木馬類
檔案 MD5： A807F5BF2635DDD3601D7CC933A4CD53
公開範圍： 完全公開
危害等級： 中
檔案長度： 498,976 位元組
感染系統： windows98以上版本
開發工具： Microsoft VisualC++6.0
加殼類型： ASProtect 1.2x
命名對照： Symentec[無]
Mcafee[無]
2病毒描述
行為分析：
1、病毒盜用系統圖示，騙取用戶點擊。
2、病毒運行後在系統盤釋放病毒檔案：
%WINDOWS%\system32\error.dat
%WINDOWS%\system32\soundman.exe
%WINDOWS%\system32\systask.dll
3、添加註冊表啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices
鍵值: 字串: "SOUNDMAN"="C:\WINDOWS\SYSTEM32\SOUNDMAN.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache\
鍵值: 字串: "病毒所在路徑 \SOUNDMAN.EXE"=
"Realtek Sound Manager"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shel
l\open\command\
新建鍵值"C:\WINDOWS\SYSTEM32\SOUNDMAN.EXE %1 %*"
原鍵值: ""%1" %*"
4、該病毒可以盜取QICQ賬號密碼，並以郵件的形式傳送給病毒作者：
註：%WINDOWS%是一個可變路徑。病毒通過查詢作業系統來決定當前WINDOWS資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt，windows95/98/me/XP中默認的安裝路徑是C:\Windows。
--------------------------------------------------------------------------------
3清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒檔案
%WINDOWS%\system32\error.dat
%WINDOWS%\system32\soundman.exe
%WINDOWS%\system32\systask.dll
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices
鍵值: 字串: "SOUNDMAN"="C:\WINDOWS\SYSTEM32
\SOUNDMAN.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache\
鍵值: 字串: "病毒所在路徑 \SOUNDMAN.EXE"=
"Realtek Sound Manager"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile
\shell\open\command\
新建鍵值"C:\WINDOWS\SYSTEM32\SOUNDMAN.EXE %1 %*"
原鍵值: ""%1" %*"
