能力值：
( LV2，RANK：10 )
|
-
-
2 楼
忘了上传样本啦，现在补上了，运行的时候一定要小心呀！可能是盗QQ的病毒
相-片.rar
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
这是金山沙箱的日志：
2011-11-14 09:03:07 G:\QMDownload\相-片.exe加载库文件D:\Windows\System32\sechost.dll D:\Windows\System32\sechost.dll
2011-11-14 09:03:07 G:\QMDownload\相-片.exe创建注册表键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters
2011-11-14 09:03:07 G:\QMDownload\相-片.exe创建文件D:\Windows\System32\598654.jpg D:\Windows\System32\598654.jpg
2011-11-14 09:03:07 G:\QMDownload\相-片.exe写文件D:\KSafeBox\E7A70503\Windows\System32\598654.jpg D:\KSafeBox\E7A70503\Windows\System32\598654.jpg
2011-11-14 09:03:08 G:\QMDownload\相-片.exe创建进程D:\Windows\System32\rundll32.exe D:\Windows\System32\rundll32.exe
2011-11-14 09:03:08 D:\Windows\System32\rundll32.exe创建注册表键值HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Direct3D\MostRecentApplication HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Direct3D\MostRecentApplication
2011-11-14 09:03:08 D:\Windows\System32\rundll32.exe写注册表HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Direct3D\MostRecentApplication HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Direct3D\MostRecentApplication
2011-11-14 09:03:08 D:\Windows\System32\rundll32.exe创建注册表键值HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\GDIPlus HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\GDIPlus
2011-11-14 09:03:08 D:\Windows\System32\rundll32.exe写文件D:\KSafeBox\E7A70503\Users\fbk88\AppData\Local\GDIPFONTCACHEV1.DAT D:\KSafeBox\E7A70503\Users\fbk88\AppData\Local\GDIPFONTCACHEV1.DAT
2011-11-14 09:03:08 D:\Windows\System32\rundll32.exe加载全局钩子D:\Windows\system32\dwmapi.dll D:\Windows\system32\dwmapi.dll
2011-11-14 09:03:08 D:\Windows\System32\rundll32.exe发送消息D:\Windows\explorer.exe D:\Windows\explorer.exe
2011-11-14 09:03:09 D:\Windows\System32\rundll32.exe操作码：[0:128]D:\Windows\explorer.exe D:\Windows\explorer.exe
2011-11-14 09:03:22 D:\Windows\System32\rundll32.exe加载全局钩子D:\Windows\system32\dwmapi.dll D:\Windows\system32\dwmapi.dll
2011-11-14 09:03:37 G:\QMDownload\相-片.exe操作码：[0:128]E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:04:08 D:\Windows\System32\rundll32.exe发送消息D:\Windows\explorer.exe D:\Windows\explorer.exe
2011-11-14 09:04:08 D:\Windows\System32\rundll32.exe创建注册表键值HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Windows Photo Viewer\Viewer HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Windows Photo Viewer\Viewer
2011-11-14 09:04:08 D:\Windows\System32\rundll32.exe写注册表HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Windows Photo Viewer\Viewer HKEY_USERS\S-1-5-21-1964218018-2040084388-2636161809-1000\Software\Microsoft\Windows Photo Viewer\Viewer
2011-11-14 09:13:29 G:\QMDownload\相-片.exe发送消息E:\Program Files\Maxthon3\Bin\Maxthon.exe E:\Program Files\Maxthon3\Bin\Maxthon.exe
2011-11-14 09:50:09 G:\QMDownload\相-片.exe发送消息E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:50:10 G:\QMDownload\相-片.exe结束进程E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:50:55 G:\QMDownload\相-片.exe发送消息E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:50:55 G:\QMDownload\相-片.exe结束进程E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:50:55 G:\QMDownload\相-片.exe结束进程E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:50:55 G:\QMDownload\相-片.exe发送消息E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:51:41 G:\QMDownload\相-片.exe发送消息E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:51:41 G:\QMDownload\相-片.exe结束进程E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:52:22 G:\QMDownload\相-片.exe发送消息E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:52:22 G:\QMDownload\相-片.exe结束进程E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:52:22 G:\QMDownload\相-片.exe结束进程E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
2011-11-14 09:52:22 G:\QMDownload\相-片.exe发送消息E:\Program Files\Tencent\QQ\Bin\QQ.exe E:\Program Files\Tencent\QQ\Bin\QQ.exe
到后来我只要启动QQ，鼠标在密码框一直闪动，没有办法输入，太可恨了。登录飞信的时候就没这种情况
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
360杀毒，金山毒霸都对它没有反应，云鉴定也是认为是安全的
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
用PEID刚才查了下壳是：ASPack 2.12 -> Alexey Solodovnikov，这个我也不敢弄呀，怎么才能安全的脱壳呢？
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
管他的 直接删了 
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
用FFI能够把它脱壳了，而且还得脱两次，最后发现是：
MD5: 71186E9B9F79395DCD56D1EB3DA12D83
Borland Delphi v6.0 - v7.0
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
能否看出这个程序有什么动作吗？
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
建议用影子系统 或者系统正常的时候备份一下 现在就360急救箱扫下吧
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
Dr.Web可以查杀到 Trojan.PWS.Banker.61655木马特征。
还有Ikarus也可以查杀到 Trojan-PWS.Win32.QQPass木马特征。
卡巴斯基也可以查杀到 Trojan-PSW.Win32.QQPass.aoeb木马特征。
世界杀毒网提交了这个压缩包的记录达到5次，最早的是13号早上接近八点的时候，那个报告报毒率还是很高的，接着接近十点的时候又提交了第二次，报告显示几乎很少有能查杀出来的杀毒软件了。
这个恶意程序的免杀方式真是太他妈的先进了。肯定对系统底层非常了解，而且熟悉杀毒软件的杀毒方式，非常牛逼啊。。。
收藏了，谢谢你提供样本哈～～～哇咔咔。。
最后提供下，金山安全卫士的提示，只要一运行那程序，安全卫士自动跳出来木马特征了。
看到你有金山安全卫士正在运行，至于为何没有提示，也许被你弄到了白名单信任列表了，你打开安全卫士的木马查杀界面，看下面的，信任列表，进去看看有没有、相－片.exe‘这个程序，有就删除，然后应该会自动报毒了。然后你再进行，深度扫描。
或者你直接把该程序拉到黑名单即可。
|
能力值：
( LV2，RANK：10 )
|
-
-
11 楼
现在的免杀技术是越来越厉害了
|
能力值：
( LV2，RANK：10 )
|
-
-
12 楼
Process ThreadID API Argument
相-片.exe 3804 FindWindowA TXGuiFoundation, QQ2011
这是它运行时的动作，这明显是在不停找QQ登录窗口，然后盗取密码。但是，并没有监测到有联网行为，所以至于盗取密码后的行为，就不太清楚了，这就需要详细的分析了。
这是微软抓的报告:Microsoft 1.7801 2011.11.13 PWS:Win32/QQpass.CJR
可以确定是典型的盗取QQ密码的木马，在我的PC中我的QQ一直是记住密码的，但是当运行这个程序后，再登录QQ，密码框就自动为空了，这时如果输入密码，就很有可能会被盗取。
至于其他的就需要详细分析了
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
木马这么厉害呀，大牛都没有什么解答。我这菜鸟更是一头雾水
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
C.I.M.A报告，结果是无毒……
http://camas.comodo.com/cgi-bin/submit?file=b80ecd2dca4c62362137aef5293fdc188feb551da09e1f3293aa16c9e4096263
可能是我设置的关系，MD只有下面几条……不知道为什么，还特意安装了QQ。没QQ啥也没有……
2011-11-15 12:50:43 向其他进程发送消息 允许
进程: c:\documents and settings\ok\桌面\相-片\相-片_unpacked_unpacked.exe
目标: c:\program files\tencent\qq\bin\qq.exe
消息: WM_SETFOCUS
规则: [应用程序]*
2011-11-15 12:50:43 底层键盘操作 允许
进程: c:\documents and settings\ok\桌面\相-片\相-片_unpacked_unpacked.exe
规则: [应用程序]*
2011-11-15 12:50:43 操控其他进程的窗口 允许
进程: c:\documents and settings\ok\桌面\相-片\相-片_unpacked_unpacked.exe
目标: c:\program files\tencent\qq\bin\qq.exe
规则: [应用程序]*
2011-11-15 12:50:44 创建新进程 允许
进程: c:\documents and settings\ok\桌面\相-片\相-片_unpacked_unpacked.exe
目标: c:\windows\system32\rundll32.exe
命令行: "rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\Documents and Settings\ok\桌面\相-片\598654.jpg
规则: [应用程序]*
|
能力值：
![]()
(RANK：20 )
|
-
-
15 楼
这个：
_http://bbs.360.cn/3229787/251799962.html?recommend=1
|
能力值：
( LV2，RANK：10 )
|
-
-
16 楼
同意用影子系统或沙盘的意见
看看它到底要干些什么
杀毒软件并不可靠
|
能力值：
( LV2，RANK：10 )
|
-
-
17 楼
360可以杀他!~
|
|
|
|
