QQ木馬“QQPass”禍害無(wú)窮-電腦教程

    病毒名稱：Trojan.PWS.QQPass.gKb6
發(fā)現(xiàn)日期：2002-10-14
病毒類型：特洛伊木馬
感染長(zhǎng)度：123392字節(jié)
病毒危害：低
傳播速度：低
受影響系統(tǒng)：Windows 95, Windows 98, Windows NT, Windows 2000, Windows XP, Windows Me
不受影響系統(tǒng)：Windows 3.x, Macintosh, Unix, Linux

技術(shù)特征：

這是一個(gè)盜取密碼的木馬程序，能夠盜取密碼及用戶信息。由于它是一個(gè)Visual Basic應(yīng)用程序，需要有Visual Basic庫(kù)才能運(yùn)行。運(yùn)行后，它會(huì)：

1.搜索本地機(jī)器如下程序，一旦找到即會(huì)終止其進(jìn)程：
Kav9x.exe
Smenu.exe
Ravmon.exe

2.將記事本程序%windir%Notepad.exe更名為%windir%Mspad.exe；

3.將自己復(fù)制為如下文件：
%windir%Eudcedit.exe
%windir%Freecell.exe
%windir%Kaedit.exe
%windir%Msscr.exe
%windir%Notepad.exe
%system%Mstray.exe

上述對(duì)系統(tǒng)的修改使得它與記事本進(jìn)行關(guān)聯(lián)，這樣每次打開(kāi)記事本文件時(shí)，木馬都會(huì)運(yùn)行。
隨后它通過(guò)修改如下注冊(cè)表來(lái)勾住系統(tǒng):

（1）將鍵值SystemKav %system%MSTRAY.EXE
添加至HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun；

（2）將HKEY_LOCAL_MACHINESOFTWARECLASSESregfileshellopencommand
默認(rèn)鍵值改為(Default) %windir%KAEDIT.EXE %1

（3）將HKEY_LOCAL_MACHINESOFTWARECLASSESscrfileshellopencommand
鍵值改為(Default) %windir%MSSCR.EXE %1

（4）將HKEY_LOCAL_MACHINESOFTWARECLASSESchm.fileshellopencommand
鍵值改為(Default) %windir%MSSCR.EXE %1

上述對(duì)注冊(cè)表的修改，使得系統(tǒng)運(yùn)行、打開(kāi)注冊(cè)表文件、運(yùn)行屏保及打開(kāi)編譯過(guò)的幫助文件等操作時(shí)，木馬都會(huì)自動(dòng)運(yùn)行。

木馬源代碼中含有如下字符串：
FileDescription: Task Monitor
I(yíng)nternalName: Winpad
OriginalName: Winpad.EXE