病毒簡介
病毒名稱： Trojan-PSW.Win32.QQRob.fb
病毒類型： 木馬類
檔案 MD5： 3cd18067e6c7e39bfd07f3e15a928498
公開範圍： 完全公開
危害等級： 中
檔案長度： 98,479 位元組
感染系統： windows98以上版本
開發工具： Borland Delphi 6.0 - 7.0
加殼類型： 無
命名對照： Symentec[無]
Mcafee[無]
病毒描述：
該病毒屬木馬類，病毒運行後，釋放病毒檔案到系統盤%WINDOWS%\deleteme.bat，%system32%\loveme.exe；修改註冊表，添加啟動項，以達到隨機啟動的目的；病毒嘗試刪除反病毒軟體啟動項，關閉反反病毒進程等，以防止病毒被殺。該病毒盜取QICQ、ICQ密碼，嘗試記錄QICQ、ICQ的密碼保護問題；並會檢查系統管理員及用戶的賬號和密碼。禁止線上防毒等。該病毒對用戶有較大危害。
行為分析：
1、病毒運行後，釋放病毒檔案到系統盤：
%WINDOWS%\deleteme.bat
%system32%\loveme.exe
2、修改註冊表，添加啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串："LOveme"="（病毒所在路徑）\LOveme.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache
鍵值: 字串: "（病毒所在路徑）"="password"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kavsvc\Start
值:DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kmixer\Enum\0
值: "SW\\
"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
， kvsrvxp\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\navapsvc\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\RsRavMon\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\Symantec Core LC\Start
值: DWORD: 4 (0x4)
3、病毒嘗試刪除反病毒軟體啟動項：
KAVRun
RavMon
Kvxp
KvNative
… …
4、關閉反反病毒進程，以防止病毒被殺：
KAVRun
TavMon
RsRavMon
RsCCenter
KVWSC
kavsvc
KWatchSvc
wscsvc
Symantec core LC
Navapsvc
… …
5、嘗試終止以下防毒軟體的進程：
金山毒霸2005
卡巴斯基反病毒單機版本
sysmantec antivirus企業版
天網防火牆個人版
天網防火牆企業版
木馬剋星
… …
6、檢查管理員密碼、檢查當前用戶密碼
7、禁止線上防毒：
VirusScan Online
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關系統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%WINDOWS%\deleteme.bat
%system32%\loveme.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串："LOveme"="（病毒所在路徑）\LOveme.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache
鍵值: 字串: "（病毒所在路徑）"="password"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kavsvc\Start
值:DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\kmixer\Enum\0
值: s"SW\
\"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\KVSrvXP\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\navapsvc\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\RsRavMon\Start
值: DWORD: 4 (0x4)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\Symantec Core LC\Start
值: DWORD: 4 (0x4)
