QQ大盜
Trojan-PSW.Win32.QQPass.oxz
捕獲時間
2010-12-17
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“盜號木馬”，由微點主動防御軟件自動捕獲,長度為“511,432”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是盜取用戶QQ帳號和密碼等資料信息。
用戶計算機感染此木馬病毒后,會出QQ登陸出現異常，帳戶密碼被盜，發現未知進程以及用戶電腦變得緩慢等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-PSW.Win32.QQPass.oxz”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除文件
1．刪除 %SystemDriver%\300000.exe
2．刪除 %SystemDriver%\無臉0010.jpg
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.病毒獲得Windows路徑以及病毒自身的路徑信息，先刪除“C：\300000.exe”文件并馬上又以相同的名字建立“C：\300000.exe”文件，然后對該文件進行讀寫操作。并以“ShellExecuteA”命令，open為參數的方式運行之。
2.病毒在C盤根目錄下創建文件名為“無臉0010.jpg”的文件,
并以“rundll32.exe C:\WINDOWS\system32\shimgvw.dll, ImageView_Fullscreen C:\無臉0010.jpg”命令行的方式啟動進程。
3. C：\300000.exe運行以后，建立變量名為“DamoclesSword”互斥體，主要是防止病毒多次運行。
4. C：\300000.exe獲得獲得Windows路徑以及病毒自身的路徑信息，并在Windows目錄下查找“JoachimPeiper.dat"數據文件以及網絡連接的配置，相當于木馬收信地址。然后分別建立10個線程。每一個線程對應著一個線程函數。
5.第一個線程函數是建立消息對話框，標題是“IWILLKILLYOU”，然后通過消息機制循環發送消息。
6.第二個線程函數是通過對話框的消息處理函數SetLayeredWindowAttributes處理一些窗口信息。主要是以隱藏方式顯示窗口和移動窗口信息。
7.第三個線程函數是先休眠12000ms，然后建立進程快照，遍歷進程查找QQ.exe ,TM.exe 等進程，找到以后結束之。
8.第四個線程函數也是以隱藏方式處理消息窗口信息。通過消息機制進行通信。
9.第五個線程函數是建立消息窗口，通過消息機制進行通信。通過對話框的消息處理函數，建立鍵盤和鼠標的事件，循環20ms監控用戶消息。假如監控成功后并發出C：\gan.wav等聲音。
10.第六個線程函數建立消息窗口，通過消息機制進行通信。通過對話框的消息處理函數，建立鍵盤和鼠標的事件，循環20ms監控用戶消息。假如監控成功后并發出C：\tab.wav等聲音
11.第七個線程函數以隱藏方式處理消息窗口信息。通過消息機制進行通信
12.第八個線程函數建立消息窗口，通過消息機制進行通信。通過對話框的消息處理函數，建立鍵盤和鼠標的事件，循環20ms監控用戶消息。并建立線程函數，休眠50ms,然后過30ms以隱藏方式顯示窗口信息和更新窗口信息。建立跟QQ窗口一樣的對話框形式。假如監控成功后并發出C：\contrl.wav等聲音
13.第九個線程函數通過GetForegroundWindow函數獲取前臺窗口信息以及GetAsyncKeyState函數獲取用戶按下鍵盤的狀態，并休眠一段時間，循環監控用戶信息。
14.第十個線程函數建立一個大循環來處理整個病毒觸發事件。
15.病毒獲取QQ2009版本的窗口信息，用窗口鉤子，能夠截獲QQ虛擬鍵盤窗口，然后休眠60ms和100ms時間。病毒將用戶的信息發送到黑客指定的收信網址。
病毒創建文件：
%SystemDriver%\300000.exe
%SystemDriver%\無臉0010.jpg
病毒訪問網絡:
http://j**4.cn/www***
http://fw***.com/2011/***
