病毒屬性
病毒名稱： Trojan-PSW.Win32.QQPass.ia病毒類型：木馬類
檔案 MD5： A807F5BF2635DDD3601D7CC933A4CD53
公開範圍： 完全公開
危害等級： 中
檔案長度： 498,976 位元組
感染系統： windows98以上版本
開發工具： Microsoft VisualC++6.0
加殼類型： ASProtect 1.2x
命名對照： Symentec[無]
Mcafee[無]
病毒描述：
該病毒屬木馬類，病毒盜用系統圖示，騙取用戶點擊。病毒運行後釋放病毒檔案error.dat、soundman.exe、systask.dll到系統盤，添加註冊表起動項，以達到隨機啟動的目的。該病毒可以盜取QICQ賬號密碼，並以郵件的形式傳送給病毒作者。該病毒對用戶有一定的危害。
行為分析：
1、病毒盜用系統圖示，騙取用戶點擊。
2、病毒運行後在系統盤釋放病毒檔案：
%WINDOWS%\system32\error.dat
%WINDOWS%\system32\soundman.exe
%WINDOWS%\system32\systask.dll
3、添加註冊表啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices
鍵值: 字串: "SOUNDMAN"＝"C:\WINDOWS\SYSTEM32\SOUNDMAN.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache\
鍵值: 字串: "病毒所在路徑 \SOUNDMAN.EXE"＝
"Realtek Sound Manager"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shel
l\open\command\
新建鍵值"C:\WINDOWS\SYSTEM32\SOUNDMAN.EXE %1 %*"
原鍵值: ""%1" %*"
4、該病毒可以盜取QICQ賬號密碼，並以郵件的形式傳送給病毒作者：
病毒作者信箱：[email protected]註：%WINDOWS%是一個可變路徑。病毒通過查詢作業系統來決定當前WINDOWS資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt，windows95/98/me/XP中默認的安裝路徑是C:\Windows。
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%WINDOWS%\system32\error.dat
%WINDOWS%\system32\soundman.exe
%WINDOWS%\system32\systask.dll
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices
鍵值: 字串: "SOUNDMAN"＝"C:\WINDOWS\SYSTEM32
\SOUNDMAN.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache\
鍵值: 字串: "病毒所在路徑 \SOUNDMAN.EXE"＝
"Realtek Sound Manager"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile
\shell\open\command\
新建鍵值"C:\WINDOWS\SYSTEM32\SOUNDMAN.EXE %1 %*"
原鍵值: ""%1" %*"
