病毒别名：

处理时间：2005-08-02

威胁级别：★★

中文名称：

病毒类型：黑客程序

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个后门程序.

能关闭杀毒软件,释放病毒文件,修改注册表,窃取用户游戏账号和密码,并提交到特定网页.

1,释放文件到以下目录:

C:\\WINNT\\services.exe

C:\\WINNT\\uninstall.exe

C:\\WINNT\\h00kdll.dll

C:\\WINNT\\assistse.exe

D:\\web.exe

E:\\web.exe

2,增加注册表项:

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Run

"Net" = "C:\\WINNT\\services.exe"

达到自启动的目的.

3,查找所有窗口,安装消息钩子函数,自动调用h00kdll.dll。在h00k.dll中,包含一个特殊的输出函数,能搜索传奇游戏窗口,记录账号和密码,通过网页脚本,发送到特定网站上.

4,被窃取的账号和密码会发送到下列网站之一:

www.y988.com/ws700/*********

www.ws55.com/*********

5,关闭下列安全软件：

KVMONXP.KXP

TROJDIE.KXP

KREGEX.EXE

KVSRVXP.EXE

RAVMON.EXE

RAVTIMER.EXE

6,隐藏所有文件的后缀名．