Worm.Win32.QQPass.ar样本分析

　　【IT专家网独家】病毒名称： Worm.Win32.QQPass.ar

　　病毒类型： 蠕虫

　　文件MD5： 8868805AD4648452AF1071269962FDA3

　　文件长度： 33,404 字节(脱壳前)/113,152 字节(脱壳后)

　　感染系统： Windows98以上版本

　　病毒描述：

　　该病毒属蠕虫类。病毒运行后，复制自身到%Program Files%\Internet Explorer\PLUGINS下，并在该文件夹下衍生病毒文件，修改注册表，添加HOOK项，以达到伴随某些程序启动的目的。

　　行为分析：

　　1、文件运行后会释放以下文件

　　2、新增注册表项

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{25799B4A-E35A-4A34-BFE5-07C0784C37C7}\inProCserveR32]

　　注册表值："@"

　　类型： REG_SZ

　　值:"C:\Program Files\Internet Explorer\PLUGINS\WinSys8x.Sys"

　　描述: 为病毒文件设置ID号

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{25799B4A-E35A-4A34-BFE5-07C0784C37C7}\InProcServer32]

　　注册表值："ThreadingModel"

　　类型： REG_SZ

　　值: "Apartment"

　　描述：设定文件的运行模式

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

　　注册表值："{25799B4A-E35A-4A34-BFE5-07C0784C37C7}"

　　类型： REG_SZ

　　值：""

　　描述: 将病毒文件的ID号添加到HOOK项中，使其随其他程序启动。

　　注：%Program Files%是一个可变路径。为系统程序默认安装目录。

　　清除方案：

　　1、使用安天木马防线可彻底清除此病毒(推荐)。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

　　(1) 使用安天木马防线“进程管理”关闭病毒进程

　　(2) 删除病毒文件

　　%Program Files%\Internet Explorer\PLUGINS\SysWin6k.Jmp

　　%Program Files%\Internet Explorer\PLUGINS\WinSys8x.Sys

　　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{25799B4A-E35A-4A34-BFE5-07C0784C37C7}\inProCserveR32]

　　注册表值："@"

　　类型： REG_SZ

　　值:"C:\Program Files\Internet Explorer\PLUGINS\WinSys8x.Sys"

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{25799B4A-E35A-4A34-BFE5-07C0784C37C7}\InProcServer32]

　　注册表值："ThreadingModel"

　　类型： REG_SZ

　　值: "Apartment"

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

　　注册表值："{25799B4A-E35A-4A34-BFE5-07C0784C37C7}"

　　类型： REG_SZ

　　值：""

　　代码分析：

　　(1) 获取窗口相关信息

      (2)创建注册表项

      (3) 删除老版本的病毒文件

   (4) 在各驱动器根目录下衍生病毒文件，但由于程序本身的问题未能实现。

    IT专家网原创文章，未经许可，严禁转载！