摘要：
OICQ密码盗窃程序无非两类：一是外壳程序，如OICQTHIEF，一是后台程序，如其他几类。外壳程序隐蔽性差（寄生的外壳程序除外），所以很容易被发现。而后台程序一般都隐藏很好，而且开机自动运行，所以不易发现，危害性也较大。关键字：
QQ号码 正文：
Version\SysTASK
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\SysTASK 3个相关键
综 述：隐蔽性极强，伪装做的很不错，基本没有明显漏洞，属专业级盗窃程序 qqspy4.01 OICQ 密码监听记录工具4.01 监听原理：将主文件QQSPY40.EXE和库文件oicqhook.dll放入系统目录system中，在注册表Oicqpass "QQSpy40.exe"从而实现开机后后台运行。接受邮箱放在注册表[HKEY_CURRENT_USER\Software\Oicq40] "Email"中 启 动：开机自动驻留后台运行 外在表现：windows目录的system目录下出现QQSPY40.EXE和oicqhook.dll 对 策：删除注册表中的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
OICQPASS "QQSPY40.EXE"
HKEY_CURRENT_USER\Software\Oicq40 重新启动，然后删除system目录中的QQSPY40.EXE和oicqhook.dll 综 述：虽也采用了后台运行，但本身隐蔽性差，对系统和注册表稍微了解的就能轻易发现，属学习级盗窃程序 qeyes 潜伏猎手 监听原理：作者真是费尽心机，其先将主文件qeyes分身改头换面潜伏在系统目录system中，其3个分身分别为： C:\WINDOWS\SYSTEM\sysreg.exe
C:\WINDOWS\SYSTEM\regservice32.exe
C:\WINDOWS\SYSTEM\rasint.dll 然后在注册表中添加了双保险的开机运行程序 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
regservice "C:\windows\system\regservice32.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
sysreg "C:\windows\system\sysreg.exe" 最可怕的是当系统正常运行后又会自动在system中增加第四个分身netw3c.exe ，同时在注册表同步添加了一个开机运行项。 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
netw3c "C:\windows\system\netw3c.exe"
如果清除时漏掉一个，那么程序又会自动复制全部分身，并重新添加注册表，使你前功尽弃。 启 动：开机自动驻留后台运行 外在表现：system目录中增加了4个文件： C:\WINDOWS\SYSTEM\sysreg.exe
C:\WINDOWS\SYSTEM\regservice32.exe
C:\windows\system\netw3c.exe
C:\WINDOWS\SYSTEM\rasint.dll 其中前三个的图标都是一只眼睛，大小都为370K 对 策：重新启动退回纯dos，删除windows中system目录中的sysreg.exe,regservice32.exe,netw3c.exe，
rasint.dll四个文件。然后删除注册表中的
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
regservice "C:\windows\system\regservice32.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
sysreg "C:\windows\system\sysreg.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run netw3c
"C:\windows\system\netw3c.exe"项 上面步骤千万不可颠倒！！因为软件的自我保护性很强，先删注册表无法彻底根除监听程序，在你启动的同时系统就会自动恢复刚删除项。
综 述：尽管作者最终还是
[1][2][3]
