解读：有关“ QQ病毒”查杀的完整手册(2)

病毒运行后，它将：

1、将自己的两个副本复制到Windows系统目录（Win9x通常是Windowssystem，WinNt通常是WinNtsystem3 2)，然后分别重命名为rundll.exe和sysedit3 2. exe。

2、修改注册表并在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值intarnet =“％windowssystem％rundll.exe”，以使木马程序在启动后自动运行（其中％windowssystem％是Windows系统目录）。

3、修改注册表，将HKEY_CLASSES_ROOTtxtfileshellopen命令的默认键值修改为％windowssystem％sysedit3 2. exe，与记事本关联，以便木马程序有机会在用户打开txt文件时运行

4、该木马将通过QQ程序向其他QQ用户发送一条消息“您去看看”，以诱使用户浏览包含恶意代码的网页。

5、此木马还将尝试窃取QQ用户的密码并将其发送到指定的邮箱。有趣的是，由于病毒作者使用一个组件来发送邮件，因此当木马程序执行发送邮件的操作时，该组件可能会弹出两个对话框，其中一个对话框显示为“ 220 welcom to coremail system（With Anti-垃圾邮件2. 1”，另一个对话框是“无法打开文件.mima.txt”。

删除方法

（[1)打开任务管理器，并结束RUNDLL和SYSEDIT32进程。

（2)删除系统文件夹（Win9x通常是Windowssystem，WinNt通常是WinNtsystem3 2)，位于名为RUNDLL.exe和sysedit3 2. exe的文件下（文件大小为1781752字节）。

（[3)打开注册表编辑器，然后删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下的名为intarnet =％windowssystem％rundll.exe \“的键值。将HKEY_CLASSES_ROOTtxtfileshellopen命令的默认键值还原到记事本％1。（其中％windowssystem％是Windows系统文件夹）

（[4)如果根目录中存在setup.txt或mima.txt文件，则将其删除。

变种第二病毒功能

该木马程序打包在名为s.eml的电子邮件中，并利用了Iframe漏洞。当未打补丁的用户浏览包含电子邮件的网页时，电子邮件中的木马程序（Hack.exe）将自动运行。

木马运行后，它将：

1、将其自身复制到Windows系统目录（通常为Windowssystem），并将其重命名为Explorer.exe。由于它与Windows目录中的资源管理器文件具有相同的名称，因此会使用户错误地认为这是正常的系统文件。

2、修改注册表，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值Intarnet =“％windowssystem％Explorer.exe”，以便该木马在启动后可以自动运行。 （其中％windowssystem％是Windows的系统目录）

3、木马程序将通过QQ的“发送消息”窗口将以下消息发送给QQ用户的网民，“看看，很好”。当用户单击URL进行浏览时，木马程序将再次被激活，从而使木马继续通过QQ聊天工具进行传播。

删除方法：

（[1)打开任务管理器，结束下面的资源管理器进程，然后删除系统目录中的木马程序Explorer.exe。或者重新启动DOS并转到系统目录以删除木马程序。直接。

（[2)打开注册表编辑器，然后删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的项。

变种第三病毒特征

病毒运行后，它将：

1、将自己的两个副本复制到Windows系统目录（Win9x通常是Windowssystem，WinNt通常是WinNtsystem3 2)，然后分别重命名为rundll.exe和sysedit3 2. exe。

2、修改注册表并在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值intarnet =“％windowssystem％rundll.exe”，以使木马程序在启动后自动运行（其中％windowssystem％是Windows系统目录）。

3、修改注册表，将HKEY_CLASSES_ROOTtxtfileshellopen命令的默认键值修改为％windowssystem％sysedit3 2. exe，与记事本关联，以便木马程序有机会在用户打开txt文件时运行

4、修改注册表，修改IE浏览器的默认页面，开始页面和开始页面。

5、该木马将通过QQ程序向其他QQ用户发送“去看看”消息，以诱使用户浏览包含恶意代码的网页。

6、该木马还将尝试窃取QQ用户的密码并将其发送到指定的邮箱。

删除方法：

（[1)打开任务管理器，并结束RUNDLL和SYSEDIT32进程。

（2)删除系统文件夹（Win9x通常是Windows \\ system，WinNt通常是WinNt \\ system3 2)，位于名为RUNDLL.exe和sysedit3 2. exe的文件下（文件大小为1781752字）。

（[3)打开注册表编辑器，然后删除HKEY_LOCAL_MACHINE \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ Run下的名为intarnet =％windowssystem％\\ rundll.exe \“的键值。还原。 HKEY_CLASSES_ROOT \\ txtfile \\ shell \\ open \\ command的默认键值是记事本％1。（其中％windowssystem％是Windows系统文件夹）

（4)还原IE设置。打开注册表编辑器并还原HKEY_LOCAL_MACHINE \\ Software \\ Microsoft \\ Internet Explorer \\ Main \\起始页，HKEY_LOCAL_MACHINE \\ Software \\ Microsoft \\ Internet Explorer \ \ Main \\ Default_Page_URL，HKEY_LOCAL_MACHINE \\ Software \\ Microsoft \\ Internet Explorer \\ Main \\ Local Page设置为原始内容。

变种第四病毒特征

木马程序是用Delphi编写的，并使用UPX压缩，但是该程序要求将Delphi动态库安装在用户计算机上才能运行。该程序与“ Love Forest”的第一版具有相同的特征，因此病毒作者很有可能重新编译了“ Love Forest”的第一版。木马运行后，它将：

1、将其自身复制到Windows操作系统（通常为Windowssystem）的系统目录中，并将其重命名为Explorer.exe。因为它与Windows目录中的资源管理器文件具有相同的名称，所以它会使用户感到困惑，并使用户错误地认为这是正常的系统文件。

2、修改注册表并在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值Explorer =“％windowssystem％Explorer.exe”，以使木马在启动后可以自动运行。 （其中％windowssystem％是Windows的系统目录）

3、木马程序还将在该站点上下载文件update.exe并执行下载的程序以执行其他破坏性活动。

删除方法

（1)首先打开任务管理器，结束下面的资源管理器进程，然后删除系统目录中的木马程序Explorer.exe。或者重新启动DOS并转到系统目录以删除木马。直接编程。

（[2)打开注册表编辑器，并删除HKEY_LOCAL_MACHINE \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ Run下的名为Explorer的键值

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-317706-2.html