QQ盗号木马的原理及其防护

QQ盗号木马的原理及其防护

QQ盗号木马层出不穷，QQ作为我们日常生活中最常用的即时聊天工具，信息安全更显的尤为重要。下面我就来介绍一下QQ盗号木马的工作原理和其防护措施，为网民朋友们的QQ信息安全指南。

行为分析

　　1.生成文件:

　　%sys32dir%qqmm.vxd

　　2.生成CLSID组件

　　HKEY_CLASSES_ROOTCLSID

　　HKEY_CLASSES_ROOTCLSID @ ""

　　HKEY_CLASSES_ROOTCLSIDInProcServer32

　　HKEY_CLASSES_ROOTCLSIDInProcServer32 @ "C:WINDOWSsystem32qqmm.vxd"

　　HKEY_CLASSES_ROOTCLSIDInProcServer32 ThreadingModel "Apartment"

　　3.修改注册表,增加启动项

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks

　　4.病毒运行后会删除病毒源文件自身.

　　5.病毒运行后会把vxd文件注入到进程当中.

　　6.病毒运行后会删除QQ医生的执行文件QQDoctorQQDoctor.exe

　　7.病毒运行后会登录h ttp://f***h. ch****en.c om/ip/ip.php网站来获得客户机器的IP地址.

　　8.病毒运行后会通过读取内存的方式截获客户QQ的账号,密码等相关资料.然后把获得的QQ的相关资料发送木马种植者的邮箱.

　　典型病毒

　　QQ大盗

　　病毒名称(中文):QQ大盗 16 38 40(无空格)病毒别名:威胁级别:★☆☆☆☆病毒类型:偷密码的木马病毒长度:163 840影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003

　　　　1.生成文件

　　%sys32dir%explorer.exe

　　%sys32dir%systemlr.dll

　　2.生成注册表启动项

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun explorer.exe "C:WINDOWSsystem32explorer.exe"

　　3.病毒运行后会生成一个病毒文件名的常驻进程.

　　4.病毒还会把Dll文件注入到explorer.exe和其他的非系统进程当中.

　　5.病毒会把盗取的密码发送到木马种植者的邮箱中.

　　通过聊天工具传播QQ盗号木马885 76(无空格)

　　病毒名称(中文):QQ盗号木马885 76病毒别名:威胁级别:★☆☆☆☆病毒类型:偷密码的木马病毒长度:885 76影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003

　　应对策略

　　QQ木马说到底就是可以窃取你机密的程序，它是捆绑的一种文件～可以窃取你QQ密码和聊天记录.平时不要随意接收 QQ上传来的文件和QQ上其他人打开的网址.在网吧上网时会自动传来个文件或网站，千万不要打开，除非对方是你熟悉的朋友先问一下是否是他发给你的.如果中了毒就用卡巴斯基杀进安全模式杀。在QQ硬盘里有QQ病毒专杀工具，下载后杀毒就行。

　　QQ病毒专杀工具

　现在很多杀毒软件都可以杀灭大多数QQ木马　　通过eXeScope，可以对QQ进行彻底地改造，这样，就可以防止任何本地的木马：因为它们根本不可能知道你在运行QQ，也不知道你在输入密码，从而就不可能窃取到你的QQ密码。

　　找到QQ可执行档案的位置，将QQ目录拷贝到其他位置，并将其中QQ可执行档案换名，如改为“副件qq2000b.exe”。这样做的目的是为了防止木马使用第一种判断方法。

　　使用ExeScope打开QQ的可执行档案，找到要修改的项。

　　位置在[资源]→[对话框]→[对话框450]，修改QQ登录的标题栏。修改密码域的属性。