worm.win32.qqpass.e分析
出处：安天病毒分析组时间：2008-02-1010：30

病毒标签：
病毒名称：worm.win32.qqpass.e
病毒类型：蠕虫类
文件md5：87b658111c0d2e26d04eca66b89be0a4
公开范围：完全公开
危害等级：4
文件长度：16,948字节
感染系统：windows98以上版本
开发工具：orlanddelphi6.0-7.0
加壳类型：upx0.89.6-1.02/1.05-1.24


病毒描述：
该病毒为木蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件。修改
注册表，添加启动项，以达到随机启动的目的。newtemp.dll插入explorer.exe
进程中，并以explorer.exe进程连接网络下载病毒文件。该病毒可盗取用户的帐
号密码等敏感信息。

行为分析：
本地行为：
1、文件运行后会衍生以下文件：
　　　　%driveletter%\autorun.inf　　　　100字节
　　　　%driveletter%\pegefile.pif　　　16,948字节
　　　　%programfiles%\internetexplorer
　　　　\plugins\newtemp.bak　　　　　　　16,948字节
　　　　%programfiles%\internetexplorer
　　　　\plugins\newtemp.dll　　　　　　　10,804字节
　　
2、新建注册表：
　　　　[hkey_local_machine\software\classes\clsid
　　　　\
　　　　\inprocserver32]
　　　　注册表值：""
　　　　类型：reg_sz
　　　　值：""
　　　　描述：添加启动项，以达到随机启动的目的
　　　　[hkey_local_machine\software\microsoft
　　　　\windows\currentversion\explorer
　　　　\shellexecutehooks]
　　　　注册表值："@"
　　　　类型：reg_sz
　　　　值："c:\programfiles\internetexplorer
　　　　\plugins\newtemp.dll"
　　　　描述：添加启动项，以达到随机启动的目的

3、将newtemp.dll插入到explorer.exe进程和应用程序进程中.　　　　
4、该病毒在驱动器的各个盘符下创建启动文件autorun.inf和该启动文件对应的
　执行文件，在用户双击打开盘符时便会启动病毒程序。
注：%system32%是一个可变路径。病毒通过查询操作系统来决定当前system文件夹的
位置。
　　
　　　　%windir%　　　　　　　　　　windodws所在目录
　　　　%driveletter%　　　　　　　　逻辑驱动器根目录
　　　　%programfiles%　　　　　　　系统程序默认安装目录
　　　　%homedrive%　　　　　　　　　当前启动的系统的所在分区
　　　　%documentsandsettings%　　　当前用户文档根目录
　　　　%temp%　　　　　　　　　　　　\documentsandsettings
　　　　　　　　　　　　　　　　　　　\当前用户\localsettings\temp
　　　　%system32%　　　　　　　　　　系统的system32文件夹
　　　　
　　　　windows2000/nt中默认的安装路径是c:\winnt\system32
　　　　windows95/98/me中默认的安装路径是c:\windows\system
　　　　windowsxp中默认的安装路径是c:\windows\system32　　　　　　　　　　　　　　　

　　　　
清除方案：
1、使用安天防线2008可彻底清除此病毒(推荐)，
　　请到安天网站下载：www.antiy.com。　
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。　
　　(1)使用安天木马防线或atool中的“进程管理”关闭病毒
　　　插入的newtemp.dll。
　　(2)强行删除病毒文件：
　　　%driveletter%\autorun.inf100字节
　　　%driveletter%\pegefile.pif16,948字节
　　　%programfiles%\internetexplorer
　　　\plugins\newtemp.bak16,948字节
　　　%programfiles%\internetexplorer
　　　\plugins\newtemp.dll10,804字节
　　(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
　　　[hkey_local_machine\software
　　　\classes\clsid\{0ea66ad2-cf26-2e23
　　　-532b-b292e22f3266}\inprocserver32]
　　　注册表值：""
　　　类型：reg_sz
　　　值：""
　　　[hkey_local_machine\software
　　　\microsoft\windows\currentversion
　　　\explorer\shellexecutehooks]
　　　注册表值："@"
　　　类型：reg_sz
　　　值："c:\programfiles\internetexplorer
　　　\plugins\newtemp.dll"