病毒大百科

这是一个能把自己注入Explorer.exe进程的病毒,它能盗取用户的QQ密码

1:拷贝与释放文件
病毒运行后,会把自己拷贝到下面的文件夹中:
C:\Program Files\Outlook Express
并命名为xyqq(没有扩展名),并在同一目录下释放
一个名为newqq.dll的文件,此文件也是个病毒,病毒名为Win32.Troj.PswQQ.p.46725

2:修改注册表
病毒会修改以下两处注册表键值
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
{25E1EECB-E580-4032-97A2-A456D33820D1}

HKEY_CLASSES_ROOT\CLSID\{25E1EECB-E580-4032-97A2-A456D33820D1}\InProcServer32
默认 -> C:\Program Files\Outlook Express\newqq.dll
ThreadingModel -> Apartment

使自己能随Windows启动,并插入到Explorer.exe进程空间中运行

3:盗取QQ密码
病毒会删除QQ密码保护文件npkcrypt.sys,使QQ密码保护失效,
并读取用户输入的QQ登录号码与密码,并把它们经过简单的加密后
记录在C:\myok.exe文件中,之后再把该文件通过邮件的方式发送到
黑客事前指定的邮箱中,使用户的QQ号码丢失.