概述
影響系統：Win9x/WinNT/Win2K/WinXP/Win2003
病毒行為:
QQ尾巴變種
編寫工具:Delphi 用Upx加殼
傳染條件:IE瀏覽器漏洞
發作條件:使用QQ 聊天工具
系統修改:
釋放如下檔案：
%system%explore.exe（Win32.Troj.QQwb）
%SystemRoot%HWS.exe（Win32.Troj.Delf.bz）
在註冊表主鍵：
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun 添加
"cExplorer"="C:WINXPSystem32Explore.exe"
"Explorer"="C:WINXPSystem32Explore.exe"
"url"="http://www.52011.com"
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServices 添加：
hws: "C:WINXPhws.exe"
HKLMSOFTWAREMicrosoftWindowsCurrentVersionWinlogon
"LegalNoticeCaption"＝"免費看電影"
"LegalNoticeText"＝"http://www.52011.com"
HKCUSoftwareMicrosoftInternet ExplorerMain
"Window Title"="免費看電影http://www.52011.com" 修改IE瀏覽器標題欄
HKCUMicrosoftWindowsCurrentVersionRun
"hws"="C:WINXPhws.exe"
HKCUSoftwarePoliciesMicrosoftInternet ExplorerControl Panel
"HomePage"="0x00000001"
禁止修改用戶首頁
HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem
"DisableRegistryTools"="0x00000001"
禁止註冊表編輯
HKLMSOFTWAREMicrosoftInternet ExplorerMain
Start Page: "http://www.52011.com"
修改首頁
HKLMSOFTWAREClassesinifileshellopencommand:
""%System%Explore.exe" "%1""
HKLMSOFTWAREClasses xtfileshellopencommand:
""%System%Explore.exe" "%1""
修改關聯
會產生如下的互斥量：QQWB_HANDLE_OF_MUTEX
發作現象:
A、首頁被修改，用戶不能編輯註冊表、不能編輯首頁地址
B、QQ傳送時會有如下尾巴：
你太厲害了，我寫的文章不錯嘛！尤其是在抒情方面最為突出，我剛才在網上看到了你的文章，我十分驚訝作者的名字也叫發獃，開始以為是重名，但是下面的QQ不信你到這個網站看看，上面收集了很多經典文章：
http://www.52011.com 點擊進入網站
你的文章就在上面，你往下拉，左邊第一排叫《書寫的愛情》，這個就是你的文章！還有,給你介紹的傳奇私服,是仿盛大,非常公平!伺服器名字：找找傳奇 IP:285.133.251
關閉如下進程：
RavMon.exe
天網防火牆個人版
天網防火牆企業版
木馬剋星
噬菌體
ZoneAlarm
EGHOST.EXE
MAILMON.EXE
netbargp.exe
特別說明:
