首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

QQ盜號木馬Trojan-PSW.Win32.QQPass.pkk



QQ盜號木馬


Trojan-PSW.Win32.QQPass.pkk

捕獲時間

2012-04-10

危害等級



病毒癥狀

  該樣本是使用“VC ”編寫的“盜號木馬”,由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式,企圖躲避特征碼掃描,加殼后長度為“64,512”字節,圖標”,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是盜取用戶的密碼和帳號。當用戶計算機感染此木馬病毒后, 會出現“QQ”、“TM” 軟件無故關閉、輸入賬號、密碼時登錄異常、緩慢的現象,最終將導致虛擬財產被黑客盜取,并且發現未知進程等現象。


感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-PSW.Win32.QQPass.pkk ”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

手動刪除以下文件:

游戲安裝目錄\Bin\msimg32.dll
游戲安裝目錄\Bin\SVulStrong.dat
用正常的msimg32.dll替換被感染的游戲安裝目錄\ msimg32.dll
將正常的AutoLogin.dat拷貝到游戲安裝目錄\Bin\下

變量聲明:

  %SystemDriver%       系統所在分區,通常為“C:\”
  %SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
  %Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
  %Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
  %ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1、創建一個名為"...TM345"的互斥體,防止樣本重復運行。
2、創建當前系統的進程快照,遍歷進程查找“QQ.exe”、“TM.exe”進程,找到進程所在目錄。
3、結束進程“QQ.exe”、“TM.exe”。
4、如果沒有找到相應進程,則打開注冊表項HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache,枚舉該注冊表項下的所有項的值,查找QQ安裝目錄。如果沒找到,則重復上述過程循環查找QQ安裝目錄。
5、找到QQ安裝目錄后,刪除正常的"C:\Program Files\Tencent\QQ\Bin\msimg32.dll"、"C:\Program Files\Tencent\QQ\Bin\AutoLogin.dat"文件。
6、在QQ裝目錄下查找"C:\Program Files\Tencent\QQ\Users\All Users\QQ\Registry.db",如果找到,則修改該文件破壞用戶記住的密碼信息,達到用戶重新登錄時必須手動輸入密碼的目的。
7、創建"C:\Program Files\Tencent\QQ\Bin\msimg32.dll"、 "C:\Program Files\Tencent\QQ\Bin\SVulStrong.dat",寫入惡意代碼,QQ啟動時優先加載自身目錄下的msimg32.dll。
8、獲取樣本文件的路徑, 獲取樣本路徑的短路徑名,創建進程,運行cmd.exe,刪除樣本文件。
9、QQ安裝目錄下的msimg32.dll加載后,獲取系統目錄,找到系統目錄下的"C:\WINDOWS\system32\msimg32.dll"文件,然后加載該文件。
10、掛鉤關鍵函數,獲取賬號密碼信息,發送到指定的網址。

病毒創建文件:

游戲安裝目錄\Bin\msimg32.dll
游戲安裝目錄\Bin\SVulStrong.dat

病毒刪除文件:

游戲安裝目錄\Bin\msimg32.dll
游戲安裝目錄\Bin\AutoLogin.dat
樣本自身

免費試用
下  載
安裝演示

为什么红黑一压大必输 上证50指数基金有 辉煌棋牌官方版正版下载 美女捕鱼游戏手机版 炒股口决 体彩十一运夺金 亿富配资 娱乐棋牌网 期货交易策略 神来棋牌老版本 能交易的炒股软件 辉煌棋牌下载地址 今天美国股市行情 云顶娱乐棋牌官方网 中国十大配资公司平台官网 贵阳捉鸡麻将微乐下 gpk劈鱼游戏技巧