病毒行为：
这是个盗QQ号码的木马。

1、病毒会释放 new123.dll 和 new123.sys 这两个文件到 %Program files%\Internet Explorer\PLUGINS 目录下，其中new123.dll是病毒复制体。
删除QQ的密码保护文件npkcrypt.sys。

2、添加如下注册表键值，使病毒随系统启动。
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB} ""
HKCR\CLSID\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB}\(Default) ""
HKCR\CLSID\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB}\InProcServer32\(Default) "%Program files%\Internet Explorer\PLUGINS\new123.sys"
HKCR\CLSID\{F3D0D422-CE6D-47B3-9CE6-C54DD63F1ADB}\InProcServer32\ThreadingModel "Apartment"
HKCU\Software\Ms\QqCjb\DL "2"

3、创建消息钩子，使得很多进程加载释放的病毒文件new123.sys。

4、查找 Tencent_QQBar 和 Tencent_QQToolBar这两个窗口，获得QQ用户的帐号信息并发送到指定邮箱。

5、删除病毒原文件。