病毒别名： 处理时间：2006-08-21 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒为Win32平台下的专门针对于江山网络游戏的盗号型木马，病毒运行后将自身添加至系统文件夹，释放出盗号主程序，然后在后台监视用户帐号密码信息，获取帐号密码信息后将其发送给病毒作者指定的邮箱。

病毒主要通过软件捆绑或欺骗方式进行传播。

1、病毒运行时将自身复制为以下文件:

%Windir%\\system32\\agetltjer.exe

2、同时在系统目录下生成记录文件:

%Windir%\\system32\\rastuejs.dll

3、通过查找查找窗体名为"JSUpdate--http://js.catv.net/default.asp"或窗体名和类名都为:"江山"方式定位江山

游戏进程。

4、在Win9x系统下，病毒调用"RegisterServiceProcess"api隐藏病毒进程。

5、病毒运行过程中终止以下相关反病毒软件:

kav32.exe

kvsrvui.exe

symantec.exe

kvxp.kxp

pwf.exe

system.exe

iparmor.exe

kvmonxp.kxp

kavsvc.exe

kav.exe

rfwsrv.exe

rfwmain.exe

ravtimer.exe

ravstub.exe

adam.exe

ravmond.exe

ravmon.exe

6、病毒添加如下注册表自启动项，使病毒开机后自动运行:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

RavUpfer = c:\\winnt\\system32\\agetltjer.exe

7、病毒获取了游戏账号密码信息后发送信息至病毒作者指定的邮箱。