Win32.Troj.QQMsg74163.b，這是一個通過QQ傳播的木馬病毒。該病毒會將自己釋放到系統目錄下並替換所有的螢幕保護程式，將螢幕保護設定為病毒檔案，將螢幕保護啟動前的等待時間改為1分鐘。該病毒會關閉安全軟體和網路共享，當用戶在跟QQ好友聊天的時候，病毒會自動向好友傳送帶有病毒的連結欺騙好友去點擊，從而也感染該病毒。
基本介紹
- 中文名：QQ尾巴
- 外文名：Win32.Troj.QQMsg74163.b
- 威脅級別：★★
- 影響系統：Win9x / WinNT
- 病毒類型：木馬
1.病毒將自己拷貝到：
%SystemRoot%\IsUn0404.exe
%SystemRoot%\IsUn0804.exe
%System%\csrss.exe
2.用病毒檔案替換下列的檔案：
%SystemRoot%目錄下的
IsUninst.exe
%System32%目錄下的
logon.scr
scrnsave.scr
ss3dfo.scr
ssbezier.scr
ssflwbox.scr
ssmarque.scr
ssmaze.scr
ssmyst.scr
sspipes.scr
ssstars.scr
sstext3d.scr
頻道螢幕保護程式.scr
3.通過一個批處理來關閉防火牆和網路共享：
%System32%\AUTOEXEC.BAT
該檔案的內容：
net stop "Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)" >>%System32%\BOOTEX.LOG
4.添加啟動項和更改螢幕保護程式（螢幕保護程式已經被病毒替換）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"internet"="%System%\csrss.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
將"Shell"的鍵值從"Explorer.exe"改為"Explorer.exe %System%\csrss.exe"
HKEY_CURRENT_USER\Control Panel\Desktop
"SCRNSAVE.EXE"="%System32%\sstext3d.scr"
HKEY_USERS\S-1-5-21-823518204-1993962763-1343024091-500\Control Panel\Desktop
"SCRNSAVE.EXE"="%System32%\sstext3d.scr"
5.修改TXT的檔案關聯到病毒檔案，使得每次打開TXT檔案時，該病毒都會運行一次：
HKEY_CLASSES_ROOT\txtfile\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command
將"@"的鍵值改為""%System%\csrss.exe" "%1""
將螢幕保護啟動前的等待時間改為1分鐘：
HKEY_CURRENT_USER\Control Panel\Desktop
HKEY_USERS\S-1-5-21-823518204-1993962763-1343024091-500\Control Panel\Desktop
將"ScreenSaveTimeOut"的鍵值改為"60"
6.強行結束視窗標題中帶有以下字眼的進程，以關閉安全軟體：
木馬
防毒
網鏢
實時監
病毒監
病毒控
firewall
fire wall
antiviru
7.通過下面的一些字眼判斷當前視窗是不是QQ的聊天視窗，如果是就自動傳送帶病毒連結的訊息給QQ好友：
聊天
聊天中
送訊息
- 傳送訊息
