病毒别名： 处理时间：2006-08-21 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒为windows平台下载其它盗号木马、后门程序等病毒的病毒，病毒运行后将自身复制为伪系统正常文件以迷惑用户，并通过注入技术将病毒关键代码注入系统正常程序进程中以穿过网络防火墙下载其它病毒。

病毒主要通过网络欺骗或软件捆绑方式进行传播。

1、病毒运行时将自身复制为以下伪系统正常文件以迷惑用户:

%Windir%\\system32\\mswdm.exe

2、通过添加如下注册表项使病毒开机后自动运行:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run]

"CheckFaultKernel" = %Windir%\\system32\\mswdm.exe

3、病毒运行时创建一个"WSM-614F0000-08"的互斥对象，用于判断病毒是过已经运行。

4、病毒首先尝试通过枚举系统进程列表找到"SERVICES.EXE"的进程，找到后提升权限，操作成功则注入下载代码，

操作失败则通过查找窗体类名为"Shell_TaryWnd"定位Explorer的进程，然后将下载代码注入该进程中。

5、网络可用时病毒连接相关网站下载其它病毒。