病毒别名：Trojan-Spy.Win32.VB.cp[AVP]

处理时间：

威胁级别：★★

中文名称：

病毒类型：木马

影响系统：Win9x / WinNT

病毒行为:

这是一个生成盗取按键信息的病毒生成器。该病毒通过将自身的一部分绑定到正常程序上生成的新病毒。生成的新病毒外观上也正常程序一样。生成的病毒会释放病毒文件并运行，然后在运行正常的程序，给用户一种错觉。病毒运行后将盗取用户的按键信息发送到指定的雅虎邮箱。

该病毒生成器生成的病毒文件：

1.会释放文件%system%\\fixapi.exe，%system%\\rsn.exe，%system%\\hotkey.exe，并运行。

2.修改注册表，创建自启动服务mysvc。

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\mysvc

"Description"="Collects extra data from local or remote computers based on preconfigured schedule parameters, then writes the data to a log or triggers an alert. If this service is stopped, extra information will not be collected. If this service is disabled, any services that explicitly depend on it will fail to start."

"DisplayName"="Extra Logs and Alerts"

"ErrorControl"=dword:00000001

"ImagePath"="%system%\\rsn.exe"

"ObjectName"="LocalSystem"

"Start"=dword:00000002

"Type"=dword:00000010

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Active Setup\\Installed Components\\\\

"StubPath"="%system%\\fixapi.exe"

其中还可能为：

3.记录用户的按键信息以及登陆信息，保存在%system%\\kbdmy.dll，当文件大小达到一定大小，就将保存在文件中的按键信息发送给指定的雅虎邮箱。

删除其实很简单先结束RSN。EXE进程

然后找到进程的目录删除掉

在建立与它相同名字的文件夹

这样的话。。哈哈不用我说了吧！！