對qq自動傳檔案病毒逆向後的一點成果

作者: ruder

page: [url]http://ruder.cdut.net[/url]

mail:[email protected]

不清楚叫什麼病毒名，隻知道很是厲害，會自動向你的好友發檔案。前面一大堆狀态判斷長的不行了，代碼就不帖了，不過還是學到了很多東西，來點實際的:)

*手動删除病毒*

1.查找程序rundll32.exe k掉

2.如果有 .exe（注意是一個特殊字元不是空格）程序，k掉

3.定位[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command]

改預設鍵值為 "notepad %1" （注意前面沒有那個類似于空格的特殊字元）

4.定位[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command]

改預設鍵值為 "%1" %*     （注意前面沒有那個類似于空格的特殊字元）

5.定位[HKEY_LOCAL_MACHINE\SOFTWARE\TENCENT\QQ]

得到你的qq目錄，再轉到你的qq目錄下

可發現 有兩個檔案 

TIMPlatform.exe

TIMP1atform.exe (注意是1不是L)

删除TIMPlatform.exe（病毒，為winrar圖示），把TIMP1atform.exe改名為TIMPlatform.exe

6.病毒檔案删除,下面是要删除的病毒檔案（都為winrar圖示）,假設windows目錄為c:\winnt

c:\winnt\system\rundll32.exe

c:\winnt\system32\?.exe

c:\winnt\system32\notepad?.exe

*為你的系統打上此病毒"更新檔"*

打此更新檔後以後不會再中此病毒

定位系統資料庫項（沒有則建立）

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSipv

添加一鍵值

MainVer 類型為REG_DWORD,值為ffffffff（16進制）

病毒啟動判斷狀态參數完畢後會查詢此值，如目前版本值比它小則會彈出個對話框就退出。

我得到的病毒版本值為505

本文轉自loveme2351CTO部落格，原文連結：http://blog.51cto.com/loveme23/8562 ，如需轉載請自行聯系原作者