斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

QQ盜號木馬Trojan-PSW.Win32.QQPass.pgn

QQ盜號木馬

Trojan-PSW.Win32.QQPass.pgn

捕獲時間

2011-07-27

危害等級



病毒癥狀

  該樣本是使用“VC ”編寫的“QQ盜號程序”,由微點主動防御軟件自動捕獲,采用“UPX”加殼方式試圖躲避特征碼掃描,加殼后長度為“41,430”字節,圖標為“”,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是盜取目標主機的QQ賬號和密碼等信息。
  用戶中毒后會出現QQ無故關閉,QQ登錄緩慢等現象

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-PSW.Win32.QQPass.pgn”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

手動刪除以下文件:

QQ安裝目錄\Tencent\QQ\Bin\msimg32.dll

變量聲明:

  %SystemDriver%       系統所在分區,通常為“C:\”
  %SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
  %Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
  %Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
  %ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”


病毒分析:

1.病毒運行后,獲取自身???,創建類名為“TXGdiFouidation”,窗口名為“TM2010”的窗口類,然后進入窗口過程函數
2.創建名稱為“...TM345”的互斥量,如果創建失敗,退出自身進程,防止多個實例運行,然后釋放該互斥量
3.創建進程快照,遍歷進程查找是否有QQ.exe進程運行
4.如果沒有找到QQ.exe進程,會遍歷注冊表項HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache下的鍵值,查找是否有QQ2011、QQ2010、QQ、QQ2009、TM2009的鍵值信息,用于查看用戶是否安裝了QQ并找到該目錄文件,如果沒有找到,會繼續創建進程快照查找是否存在qq.exe0進程,如果沒有找到,會循環遍歷進程查找該進程
5.如果找到QQ.exe進程,查找QQ安裝目錄的bin目錄下是否存在AutoLogin.dat、msimg32.dll,然后刪除AutoLogin.dat文件
6.在QQ安裝目錄的bin目錄下創建文件msimg32.dll(偽造系統文件),并設置文件屬性為系統隱藏,QQ啟動過程中會優先啟動自身目錄下的msimg32.dll
7.遍歷進程查找QQ.exe進程,如果找到,結束該進程;然后繼續遍歷進程查找QQ.exe進程,查看是否已經結束該進程
8.創建進程,以命令行方式刪除病毒源文件自身,退出自身進程
9.QQ啟動過程中,加載木馬程序創建的msimg32.dll
10.msimg32.dll加載后,會把正常啟動需要的輸出表地址指向系統目錄下的msimg32.dll,然后創建線程,加載自身資源
11.在msimg32.dll創建線程中,創建全局鍵盤消息鉤子,獲取用戶鍵盤輸入內容,來截獲QQ的帳號和密碼
12.通過解密字符串獲取病毒網絡地址//q.nbw***.com:82/a/hoho.asp,將截獲QQ的帳號和密碼發送到該遠端網址

病毒創建文件:

QQ安裝目錄\Tencent\QQ\Bin\msimg32.dll

病毒刪除文件:

QQ安裝目錄\Tencent\QQ\Bin\AutoLogin.dat
病毒源文件自身

病毒訪問網絡:

//q.nbw***.com:82/a/hoho.asp

免費試用
下  載
安裝演示