QQ木馬是針對QQ即時(shí)聊天工具的盜號(hào)木馬。病毒運(yùn)行后會(huì)修改注冊表增加啟動(dòng)項(xiàng)，破壞QQ醫(yī)生的運(yùn)行。然后通過內(nèi)存讀取的方式盜取用戶的QQ號(hào)和密碼，并把密碼發(fā)送到木馬種植者的手上。

　　行為分析

　　1.生成文件:

　　%sys32dir%qqmm.vxd

　　2.生成CLSID組件

　　HKEY_CLASSES_ROOTCLSID

　　HKEY_CLASSES_ROOTCLSID @ ""

　　HKEY_CLASSES_ROOTCLSIDInProcServer32

　　HKEY_CLASSES_ROOTCLSIDInProcServer32 @ "C:WINDOWSsystem32qqmm.vxd"

　　HKEY_CLASSES_ROOTCLSIDInProcServer32 ThreadingModel "Apartment"

　　3.修改注冊表,增加啟動(dòng)項(xiàng)

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks

　　4.病毒運(yùn)行后會(huì)刪除病毒源文件自身.

　　5.病毒運(yùn)行后會(huì)把vxd文件注入到進(jìn)程當(dāng)中.

　　6.病毒運(yùn)行后會(huì)刪除QQ醫(yī)生的執(zhí)行文件QQDoctorQQDoctor.exe

　　7.病毒運(yùn)行后會(huì)登錄h ttp://f***h. ch****en.c om/ip/ip.php網(wǎng)站來獲得客戶機(jī)器的IP地址.

　　8.病毒運(yùn)行后會(huì)通過讀取內(nèi)存的方式截獲客戶QQ的賬號(hào),密碼等相關(guān)資料.然后把獲得的QQ的相關(guān)資料發(fā)送木馬種植者的郵箱.

　　典型病毒

　　QQ偽裝盜號(hào)者

　　病毒名稱(中文):QQ偽裝盜號(hào)者16 38 40(無空格)病毒別名:威脅級(jí)別:★☆☆☆☆病毒類型:偷密碼的木馬病毒長度:163 840影響系統(tǒng):Win9x WinMe WinNT Win2000 WinXP Win2003

　　病毒行為

　　該病毒是針對QQ即時(shí)聊天工具的盜號(hào)木馬。病毒運(yùn)行后會(huì)釋放偽裝成系統(tǒng)桌面進(jìn)程的病毒文件，修改注冊表增加啟動(dòng)項(xiàng)，然后通過內(nèi)存讀取的方式盜取密碼，并把密碼發(fā)送到木馬種植者的手上。

　　1.生成文件

　　%sys32dir%explorer.exe

　　%sys32dir%systemlr.dll

　　2.生成注冊表啟動(dòng)項(xiàng)

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun explorer.exe "C:WINDOWSsystem32explorer.exe"

　　3.病毒運(yùn)行后會(huì)生成一個(gè)病毒文件名的常駐進(jìn)程.

　　4.病毒還會(huì)把Dll文件注入到explorer.exe和其他的非系統(tǒng)進(jìn)程當(dāng)中.

　　5.病毒會(huì)把盜取的密碼發(fā)送到木馬種植者的郵箱中.

　　通過聊天工具傳播QQ盜號(hào)木馬885 76(無空格)

　　病毒名稱(中文):QQ盜號(hào)木馬885 76病毒別名:威脅級(jí)別:★☆☆☆☆病毒類型:偷密碼的木馬病毒長度:885 76影響系統(tǒng):Win9x WinMe WinNT Win2000 WinXP Win2003

　　應(yīng)對策略

　　QQ木馬說到底就是可以竊取你機(jī)密的程序，它是捆綁的一種文件～可以竊取你QQ密碼和聊天記錄.平時(shí)不要隨意接收 QQ上傳來的文件和QQ上其他人打開的網(wǎng)址.尤其是對方在網(wǎng)吧上網(wǎng)時(shí)，會(huì)自動(dòng)傳來個(gè)文件或網(wǎng)站，千萬不要打開，除非對方是你熟悉的朋友先問一下是否是他發(fā)給你的.如果中了毒就用卡巴斯基殺進(jìn)安全模式殺。在QQ硬盤里有QQ病毒專殺工具，下載后殺毒就行。

　　QQ病毒專殺工具

　　百度可以搜索到，這里提供兩個(gè)鏈接，專殺工具QQ木馬終極應(yīng)對策略

　　通過eXeScope，可以對QQ進(jìn)行徹底地改造，這樣，就可以防止任何本地的木馬：因?yàn)樗鼈兏静豢赡苤滥阍谶\(yùn)行QQ，也不知道你在輸入密碼，從而就不可能竊取到你的QQ密碼。

　　找到QQ可執(zhí)行檔案的位置，將QQ目錄拷貝到其他位置，并將其中QQ可執(zhí)行檔案換名，如改為“副件qq2000b.exe”。這樣做的目的是為了防止木馬使用第一種判斷方法。

　　使用ExeScope打開QQ的可執(zhí)行檔案，找到要修改的項(xiàng)。

　　位置在[資源]→[對話框]→[對話框450]，修改QQ登錄的標(biāo)題欄。修改密碼域的屬性。

　　這樣做會(huì)導(dǎo)致密碼以明文形式出現(xiàn)在輸入框，可能會(huì)被別人偷看，不過為了防止木馬偷看，你只能這樣了。保存設(shè)置。現(xiàn)在運(yùn)行“復(fù)件 qq2000b.exe”看看吧。如果大家都采用這樣的防護(hù)措施，離QQ木馬的消失的日子就不遠(yuǎn)了。