Trojan-PSW.Win32.QQRob.fb

該病毒屬木馬類，病毒運行後，釋放病毒檔案到系統盤%WINDOWS%\deleteme.bat，%system32%\loveme.exe；修改註冊表，添加啟動項，以達到隨機啟動的目的；病毒嘗試刪除反病毒軟體啟動項，關閉反反病毒進程等，以防止病毒被殺。該病毒盜取QICQ、ICQ密碼，嘗試記錄QICQ、ICQ的密碼保護問題；並會檢查系統管理員及用戶的賬號和密碼。禁止線上防毒等。該病毒對用戶有較大危害。

基本介紹

  • 病毒類型： 木馬類
  • 公開範圍：完全公開
  • 危害等級：中
  • 開發工具： Borland Delphi 6.0 - 7.0
病毒名稱,行為分析,清除方案,

病毒名稱

Trojan-PSW.Win32.QQRob.fb
病毒類型： 木馬類
檔案 MD5： 3cd18067e6c7e39bfd07f3e15a928498
公開範圍： 完全公開
危害等級： 中
檔案長度： 98,479 位元組
感染系統： windows98以上版本
開發工具： Borland Delphi 6.0 - 7.0
加殼類型： 無
命名對照： Symentec[無]
Mcafee[無]

行為分析

1、病毒運行後，釋放病毒檔案到系統盤：
%WINDOWS%\deleteme.bat
%system32%\loveme.exe
2、修改註冊表，添加啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串："LOveme"="（病毒所在路徑）\LOveme.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache
鍵值: 字串: "（病毒所在路徑）"="password"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kavsvc\Start
值:DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kmixer\Enum\0
值: "SW\{b7eafdc0-a680-11d0-96d8-00aa0051e51d}\
{9B365890-165F-11D0-A195-0020AFD156E4}"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
， KVSrvXP\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\navapsvc\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\RsRavMon\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\Symantec Core LC\Start
值: DWORD: 4 (0x4)
3、病毒嘗試刪除反病毒軟體啟動項：
KAVRun
RavMon
Kvxp
KvNative
… …
4、關閉反反病毒進程，以防止病毒被殺：
KAVRun
TavMon
RsRavMon
RsCCenter
KVWSC
kavsvc
KWatchSvc
wscsvc
Symantec core LC
Navapsvc
… …
5、嘗試終止以下防毒軟體的進程：
金山毒霸2005
卡巴斯基反病毒單機版本
sysmantec antivirus企業版
天網防火牆個人版
天網防火牆企業版
木馬剋星
… …
6、檢查管理員密碼、檢查當前用戶密碼
7、禁止線上防毒：
VirusScan Online
註：
% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%WINDOWS%\deleteme.bat
%system32%\loveme.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串："LOveme"="（病毒所在路徑）\LOveme.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache
鍵值: 字串: "（病毒所在路徑）"="password"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kavsvc\Start
值:DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kmixer\Enum\0
值: s"SW\{b7eafdc0-a680-11d0-96d8-00aa0051e51d}
\{9B365890-165F-11D0-A195-0020AFD156E4}"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\KVSrvXP\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\navapsvc\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\RsRavMon\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\Symantec Core LC\Start
值: DWORD: 4 (0x4)

相關詞條

熱門詞條

聯絡我們