病毒别名： 处理时间：2006-09-06 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个盗取多款网游帐号的木马，病毒运行后会释放多个自身拷贝到硬盘中。此外，病毒会修改系统中.exe，.html文件的默认文件关联使用户无意中运行病毒；病毒会添加注册表项实现开机自启动。病毒会查找网游窗口，记录键盘信息，发送到指定邮箱。

1、病毒运行后会拷贝自身到如下目录：

c:\\windows\\lsass.exe

C:\\Program Files\\Internet Explorer\\INTEXPLORE.com

C:\\Program Files\\Common Files\\INTEXPLORE.pif

C:\\windows\\EXERT.EXE

C:\\WINDOWS\\system32\\dxdiag.com

C:\\WINDOWS\\system32\\regedit.com

C:\\WINDOWS\\Debug\\DebugProgram.exe

2、修改.exe、.html、文件关联，当该类型文件被运行时会运行病毒文件；

[HKCR\\Applications\\iexplore.exe\\shell\\open\\command]

"(Default)"=""C:\\Program Files\\Internet Explorer\\INTEXPLORE.com" %1"

[HKCR\\CLSID\\{871C5380-42A0-1069-A2EA-08002B30309D}\\shell\\OpenHomePage\\Command]

"(Default)"="C:\\Program Files\\Internet Explorer\\INTEXPLORE.com"

[HKCR\\htmlfile\\shell\\opennew\\command]

"(Default)"="C:\\Program Files\\common~1\\INTEXPLORE.pif" %1"

[HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS\\CURRENTVERSION\\RUN]

"ToP"="C:\\WINDOWS\\LSASS.exe"

[HKCR\\WindowFiles\\shell\\open\\command]

"(Default)"="C:\\WINDOWS\\EXERT.exe "%1" %*"

删除如下注册表项：

[HKLM\\System\\CurrentControlSet\\Services\\TrkWks\\Parameters\extVolInfrequentTask]

3、安装键盘和鼠标钩子，查找游戏窗口并记录键盘信息。

4、发送信息到指定的邮箱。