北京信息安全中心毒霸联合发布4.02热门病毒

北京信息安全中心毒霸联合发布4.02热门病毒

2004年04月02日11:03:15　金山毒霸安全资讯网　

　　北京信息安全测评中心、金山毒霸联合发布2004年04月02日热门病毒

　　据金山毒霸反病毒实验室介绍，今日提醒用户注意以下病毒：

　　QQ密码发送者（Win32.Troj.QQSpyInst），木马病毒。该木马病毒表面上一个盗号木马的生成工具，其实病毒在生成木马的同时会释放另一个盗号木马，并立即安装到运行的系统，用以盗取QQ的账号及密码。以下是该病毒的详情：

　　病毒信息：

　　病毒名称: Win32.Troj.QQSpyInst
　　中文名称: QQ密码发送者
　　威胁级别: 2B
　　受影响系统: Win9x/WinMe/Win2000/WinXP/Win2003

　　技术特点：

　　A、该病毒感染系统后，将释放出另一个木马病毒：Win32.Troj.QQdraGon，并弹出以下对话框，欺
　　　骗用户：
　　　

　　B、木马病毒Win32.Troj.QQdraGon具有以下特征：

　　1) 自我复制到以下文件夹：
　　　 C:\rundll.exe
　　　 %system%\Explorer.exe

　　2) 添加以键值：
　　　 "SysRun" = %system%\Explorer.exe
　　　到
　　　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　　以便病毒可随机自启动；

　　3) 添加以下主键
　　　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SysRun
　　　 HKEY_LOCAL_MACHINE\SOFTWARE\Spy

　　4) 将病毒首次运行的文件夹设置为完全共享，共享名为：SysOut$

　　5) 添加用户SysSql到管理组；

　　6) 盗取系统的Outlook邮件系统的帐号和密码，发送到指定的在线信箱中
　　　使用以下链接来发信：http://www.greatgarment.com/sendmail.asp

　　解决方案:

　　· 金山毒霸已经于4月02日对该病毒进行了处理，请升级最新版可完全查该病毒；

　　· 在收取邮件和在线聊天时不要轻易打开陌生人传来的文件，如果有必要打开，请使用最新病毒
　　　库的反病毒软件检测后再打开；

　　· 强烈推荐各位网络用户将浏览器“Internet Explorer”升级到6.0，并打上最新补丁，可防止
　　　病毒的自动感染。以下是IE的最新补丁地址：
　　　 http://www.microsoft.com/technet/security/bulletin/ms04-004.mspx

　　· 手工解决方案：
　　　
　　　首先，若系统为WinXP，则请先关闭系统还原功能；
　　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是Windows9x/WinMe：

　　步骤一，删除病毒主程序
　　请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为
　　C:\windows\），分别输入以下命令，以便删除病毒程序：
　　C:\>del rundll.exe

　　然后转到WINDOWS系统目录（默认的安装目录为C:\windows\system），输入以下命令，以便删
　　除病毒程序：
　　C:\windows\system>del Explorer.exe

　　完毕后，取出系统软盘，重新引导到Windows系统。
　　如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

　　步骤二，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"SysRun" = %system%\Explorer.exe
　　删除以下主键
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion> SysRun
　　HKEY_LOCAL_MACHINE\SOFTWARE\Spy
　　关闭注册表编辑器；

　　步聚三，关闭病毒共享的文件夹，共享名为SysFox$ 。

　 对于系统是Windows NT, Windows 2000, Windows XP, Windows 2003 Sever：

　　步骤一，使用进程序管里器结束病毒进程
　　右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口。在任务
　　管理器中，单击“进程”标签，在例表栏内找到病毒进程“Explorer.exe或rundll.exe”，单
　　击“结束进程按钮”，点击“是”，结束病毒进程，然后关闭“Windows任务管理器”；

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入C盘，找到文件“rundll.exe ”，将它删除，
　　进入系统目录（Winnt\system32或windows\system32），
　　找到文件“Explorer.exe ”，将它删除，注意清空回收站内的内容；

　　步骤三，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"SysRun" = %system%\Explorer.exe
　　删除以下主键
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>SysRun
　　HKEY_LOCAL_MACHINE\SOFTWARE\Spy
　　关闭注册表编辑器.

　　步聚四，关闭病毒共享的文件夹，共享名为SysFox$
　　删除病毒添加的管理员用户SysSql