Win32.PSWTroj.QQ.nh.80104

这是个盗取用户QQ帐号的木马！

1、复制自身为：%ProgramFiles%\CommonFiles\MicrosoftShared\MSINFO\SysInfo.dll

2、释放文件：%ProgramFiles%\CommonFiles\MicrosoftShared\MSINFO\SysInfo.wmp

3、对explorer.exe进行注入，被注入后的explorer.exe会设置一个计时器不停的修改注册表项：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{08315C1A-9BA9-4B7C-A432-26885F78DF28} ""
HKCR\CLSID\{08315C1A-9BA9-4B7C-A432-26885F78DF28}\(Default) ""
HKCR\CLSID\{08315C1A-9BA9-4B7C-A432-26885F78DF28}\InProcServer32\(Default) "%\ProgramFiles%\CommonFiles\MicrosoftShared\MSINFO\SysInfo.wmp"
HKCR\CLSID\{08315C1A-9BA9-4B7C-A432-26885F78DF28}\InProcServer32\ThreadingModel "Apartment"

4、启动IE访问网络。

5、SysInfo.wmp会判定加载自己的进程名，假如是QQS003TP.Exe(QQ安全检查主程序)则结束该进程，假如是QQ.exe则删除QQ.exe同一目录下的文件npkcrypt.sy。

6、创建键盘和鼠标钩子。

7、获取QQ登陆窗口，截获QQ帐号信息后发送到指定邮箱。

8、通过QQ聊天窗口发送自身的复制体。