“QQ爱虫”（QQ.Porn）病毒分析
日期：2006-06-04 荐：
病毒名称：I-Worm/QQ.Porn 病毒大小：20480，upx压缩 传播方式：网络传播 危害程度：** 此病毒为蠕虫病毒，通过在线QQ发送病毒文件。病毒运行后会从黑客网站下载另一病毒（Backdoor/Jieba.2004），后者可以捕获Win9x/Win2k/WinXp下的几乎所有普通窗口的登录密码, 如: OICQ/QQ, ICQ, Outlook, Foxmail, 电子邮箱, 网吧上网账号, 软件注册码、各种游戏软件, 各种财务软件, 各种管理软件, 拨号上网, 共享目录, 屏保等等, 以及各种在网页的登录密码, 如: Web邮件, 江湖论坛, 聊天室, 密码保护资料等。 感染过程： (1) 如果病毒被执行，会生成以下文件，其存路径为： 病毒运行后，将创建下列文件： %SystemDir%/wbem/dhelp.dll, 20480字节 %SystemDir%/dhelp.dll, 20480字节 %SystemDir%/wmimgr.exe, 20480字节 (2) 从黑客网站下载Backdoor/Jieba.2004并保存为： %SystemDir%/comime.exe, 49576字节 %SystemDir%/msinthk.dll, 6656字节 (3) 在注册表中添加下列启动项： [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run] "mssysint" = comime.exe [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run] "Windows Management Instrumentation" = wmimgr.exe 这样，在Windows启动时，病毒就可以自动执行 (4) 病毒通过修改以下注册表键值，达到用户无法手工修改注册表和使用任务管理器的目的： [HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Policies/System] "DisableTaskMgr" = 1 [HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Policies/System] "DisableRegistryTools" = 00000001 (5) 显示以下虚假信息，欺骗用户： >
(6) 创建两个定时器，每隔一定时间查找QQ聊天消息窗口并向所有在线用户发送病毒文件，带毒文件扩展名为.jpg.exe,带毒文件名为以下字串之一： 绝色倾城MM秀 <<少妇波大，顶不住>> 美女激情大暴光！！！ 美女发现被偷拍后，竟然做出如此激烈的反应…… 广州某航空公司MM军训照片 美女 这是网吧啊，你也敢脱啊？ 恬静的广州大学美少女―瞳瞳 Sexy的紫霞仙子 ［美女］- 精点超靓小少妇 高清晰美女写真[40张] 让美女失色的泰国人妖 II [10图] 美女洗澡清析透视图（真正清析无码） 蔡依林短裙显诱惑 [转帖][贴图] 美女超短裙被刮破的那一刻! 推荐-很珍贵历史照片：估计9成人没看到过[23P] 极度诱惑！ 真正的美女并不是脱光了衣服才够靓！ 超辣的酒店小姐你怕吗？ 时尚、成熟、风韵、妩媚、性感 真实网友美眉在浴室自拍（没穿衣服） 美少女做爱十八式哦。 《这 就 是 人 体 艺 术！》 青春靓丽的极品美女－不看别后悔 超清晰极限美图！大师级作品 “一脱成名”：台湾三级女星十年兴衰 美人脱衣全过程[抵制日货 但是不要抵制日本美女] MM走光令人喷血 美女走光才完美 超级漂亮空姐脱衣自拍，爽 昨天上的网友美眉自拍~![7P] 校园偷拍到的一个大胆女生！ 身材棒棒，皮肤爆好的MM 极度诱惑手别发麻! [11P] 又白又嫩的少妇在对你笑。[ 你不吐血杀了我! 清晰美女，脱了，如果让你碰上了[7P] 可爱小淫MM摆弄各部位让你看~~顶吧！ 身材一流的MM，还把内裤脱下来了！ 貌艳销人魂 声甜舒人心 肤润乳耸柳腰摆[8P] [9 BY一梦三四年]影楼偷拍的美女真面目!发人深思!让男人吸取教训! 偷拍三亚游玩性感小富婆 MM竟然穿着如此风骚撩人的开胸衣 极品漂亮少妇之无丝奉献 现在女孩真开放 ~~~洗澡间自拍 介绍个新疆MM给你认识 诱惑阿！美女教你带隐形胸罩 解决方案：针对该病毒江民公司在第一时间升级了病毒库，用户只需将KV江民杀毒系列软件智能升级到2005年05月23日最新版本，开启起七套实时监控系统，即可将此病毒有效的杀死在系统之外，确保电脑不受病毒的侵扰
标签：