病毒别名： 处理时间：2006-08-02 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个盗号木马。它会盗取传奇、魔兽等游戏帐号和QQ密码，

并将盗取的帐号密码提交到指定的网页。该病毒在系统中做了很强的自我保护。

建议电脑用户要升级杀毒软件和打开防火墙，以防中毒受害。

1、生成的文件

%SystemRoot%\\system32\\rundll32.com

%SystemRoot%\\system32\\finder.com

%SystemRoot%\\finder.com

%SystemRoot%\\system32\\command.pif

%SystemRoot%\\WINLOGON.EXE

%\\Program Files%\\intern~1\\iexplore.com

%\\Program Files%\\common~1\\iexplore.pif

%SystemRoot%\\explorer.com

%SystemRoot%\\1.com

%SystemRoot%\\ExERoute.exe

%D:%\\pagefile.pif

%D:%\\autorun.inf

%SystemRoot%\\system32\\MSCONFIG.COM

%SystemRoot%\\system32\\dxdiag.com

%SystemRoot%\\system32\\regedit.com

%SystemRoot%\\Debug\\DebugProgram.exe

2、修改系统exe文件关联

HKLM\\SOFTWARE\\Classes\\winfiles\\Shell\\Open\\Command

"Default" = "%SystemRoot%\\ExERoute.exe "%1" %*"

3、修改System.ini中的shell项

HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon

"Shell" = "Explorer.exe 1"

4、修改http协议缺省启动程序

HKLM\\SOFTWARE\\Classes\\http\\shell\\open\\command

"Default" = ""%\\Program Files%\\common~1\\iexplore.pif" -nohome"

5、修改ftp协议缺省启动程序

HKLM\\SOFTWARE\\Classes\\ftp\\shell\\open\\command

"Default" = ""%Program Files%\\Internet Explorer\\iexplore.com" %1"

6、修改htmlfile协议缺省启动程序

HKLM\\SOFTWARE\\Classes\\htmlfile\\shell\\open\\command

"Default" = ""%Program Files%\\Internet Explorer\\iexplore.com" -nohome"

7、添加自启动项

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

"Torjan Program" = "%SystemRoot%\\WINLOGON.EXE"

8、该病毒在系统装了一个类型为WH_MSGFILTER消息钩子监视传奇、QQ等登陆程序，

其申请进程路径是%SystemRoot%\\WINLOGON.EXE

9、ExERoute.exe进程会监视并维护WINLOGON.EXE进程

10、该病毒在其他非系统盘建了一个autorun.inf，每次双击这些盘都会再次感染该病毒。

11、接收帐号密码的处理网页

http://upd.etsoft.com.cn/UPD/info_new.asp?UID=""&UID88=""

http://upd.etsoft.com.cn/upd/xyqupdate.asp?FV=""&crc=""

http://upd.etsoft.com.cn/upd/wow.htm?crc=

http://upd.etsoft.com.cn/upd/uzt