病毒别名：

处理时间：2005-10-17

威胁级别：★

中文名称：

病毒类型：木马

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个盗取传奇游戏帐号和密码的木马病毒．

该病毒首先关闭大量安全软件，然后把自身释放到指定文件夹，并添加到自启动项，使病毒在开机的时候自动运行．该病毒能自动查找传奇游戏的窗口，当用户输入帐号和密码等信息的时候，便自动记录，然后提交到指定网站．

1,释放文件到以下目录:

C:\\WINNT\\ExERoute.exe

C:\\WINNT\\explorer.com

C:\\WINNT\\finder.com

C:\\WINNT\\services.exe

C:\\WINNT\\Debug\\DebugProgram.exe

C:\\WINNT\\system32\\dxdiag.com

C:\\WINNT\\system32\\finder.com

C:\\WINNT\\system32\\MSCONFIG.COM

C:\\WINNT\\system32\\regedit.com

C:\\WINNT\\system32\\rundll32.com

2,增加注册表项:

HKLM\\SoftWare\\Microsoft\\Windows\\CurrentVersion\\Run

＂Torjan Program＂　＝　"C:\\WINNT\\services.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\winfiles\\Shell\\Open\\Command

＂@＂　＝　"C:\\WINNT\\ExERoute.exe "%1" %*"

3,关闭下列进程:

RFWMA*

RAV*

KAV*

KWATCH*

KPOP*

KPFWSVC*

KV*

IPARMOR*

UPHC*

RFWMA*

等等

4,自动查找传奇游戏的窗口，当用户输入帐号和密码等信息的时候，便自动记录，然后提交到指定网站．