僞裝QQ登錄木馬分析(圖)

　先給大家看一張截圖，相信所有網民都非常熟悉。

　　

　　你有發現問題所在嗎？

　　接下來，給各位展示一個全景，哦，估計會有人看出些端倪。

　　

　　看到了吧，這是個木馬程序，運行後和QQ登錄一模一樣，這個木馬會被釋放進QQ的安裝路徑下，文件名爲qq （注意QQ後面多了一空格），病毒還會替換QQ的快捷方式，後果就一目瞭然了吧。下次開機，你會發現QQ啓動了，你習慣性的輸入了QQ號和密碼， 幾分鐘後，你的QQ就可能在另一個地方登錄，這個QQ就不再是你的了。

　　該病毒運行後會僞裝成逼真的QQ登錄窗口，不小心輸入的QQ號和密碼會立即被盜。

　　該病毒的行爲詳細描述如下：

　　1. 建立目錄c:＼Recycled，圖標爲回收站的圖標(正常的回收站名爲Recycler)。目錄下有、等病毒文件，這些文件都是系統隱藏屬性。爲了隱藏自身，目錄下還有一個“文件免疫”文件、一個名爲“文件免疫.”的文件夾，防止用戶刪除此目錄。

　　2. 在每個盤下生成一個文件夾，文件夾下有一個“文件免疫”文件、一個名爲“文件免疫.”的文件夾，防止用戶刪除此目錄，還可以迷惑用戶，讓用戶以爲這些目錄是某些軟件生成的免疫文件夾。

　　其中，D:下的文件夾下有，病毒文件。

　　每個＼文件免疫.目錄下有一個名爲AQ的文件，這是病毒的配置信息。

　　3. 修改userinit啓動項，追加病毒文件的路徑。修改後的userinit鍵值爲如下形式：

　　,c:＼Recycled＼

　　4. 在QQ目錄下釋放一個病毒文件“ ”，文件圖標與QQ的圖標相同，但沒有版本信息和數字簽名。（正常的有版本信息和數字簽名，可以通過數字簽名驗證。）

　　在桌面上創建了一個QQ的AllUser鏈接C:＼Documents and Settings＼All Users＼桌面＼騰訊，指向病毒釋放的僞裝QQ程序（C:＼Program Files＼Tencent＼QQ＼" "）。

　　監視QQ程序的啓動，當用戶啓動時，病毒會關閉程序，啓動" "病毒程序。病毒程序啓動後創建的界面與QQ2008界面十分相似，並且有QQ木馬掃描的選項和掃描進度條。

　　5. 通過僞造的登陸界面盜取用戶的QQ賬號，通過郵箱發送給病毒作者。