Win32.Troj.QQPass.md

这是一个通过多种方法使杀毒软件失效的盗号软件，它能盗取用户QQ的号码与密码。

1：拷贝文件
病毒运行后，会把自己拷贝到system32目录下，
并命名为svohost.exe，如下：
%system%\SVOHOST.exe

2：更改注册表
a:
病毒会在注册表中的启动项加入自己，使自己能随Windows启动。
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
SoundMam->%system%\SVOHOST.exe

b:
病毒会删除注册表中以下5项，这些都是安全软件的自启动项。
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
RavTask
KvMonXP
YLive.exe
yassistse
KAVPersonal50

3：关闭指定窗口
病毒会枚举桌面上所有的窗口，
若找到窗口名包含以下字符的窗口，
刚向该窗口发送关闭的消息。
QQKav
雅虎助手
上网助手
反间谍专家
防火墙
网镖
杀毒
病毒
木马
QQAV

4：中止指定进程
病毒会枚举系统中所有的进程，
关闭以下的进程：
PFW.exe
Kav.exe
kav32.exe
kvwsc.exe
kavsvc.exe
VPTray.exe
RAVMON.exe
EGHOST.exe
KavPFW.exe
RavMonD.exe
Rtvscan.exe
Nvsvc32.exe
KVMonXP.exe
Kvsrvxp.exe
CCenter.exe
KpopMon.exe
RfwMain.exe
KVCenter.kxp
kavstart.exe
RAVTIMER.exe
RRfwMain.exe
KVSrvXp_1.exe
RavService.exe

5：禁止服务
病毒会把以下6项服务设为禁止(Disable)，
这些都是常见杀毒软件的服务，
使它们不能启动
KVWSC
KVSrvXP
kavsvc
RsRavMon
RsCCenter
RsRavMon

6：读取并发送QQ密码
病毒会通过消息钩子的方式得到QQ的号码与密码，并对号码与密码作了简单的移位加密。
之后把加密后的信息发送到木马种植都的邮箱上。