病毒别名：
处理时间：2005-08-09
威胁级别：★
中文名称：
病毒类型：黑客程序
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个后门病毒，病毒会记录用户的键盘操作，同时开启网络端口，随时等待远程
指令的控制。
1. 病毒体运行后，通过检查自身路径是否在%WinDir%目录下，判断是否是首次运行。
如果是首次运行，病毒体将自身拷贝为两个备份expl0rer.exe和sp00lsv.exe到
%WinDir%目录下，然后开启这两个进程，并将自身删除。
2. expl0rer.exe进程和sp00lsv.exe进程相互监控、互相开启，形成“互锁”，普通
方法很难结束病毒进程。
3. 病毒获取中毒计算机的相关信息，保存在%WinDir%目录下的win32log.dat文件中，
并进行了加密。
4. 病毒还会记录用户的键盘操作、以及相关的进程、窗口信息。这些信息被记录在
%WinDir%下的“日志文件”中，日志文件采用如下的命名方式：
"WeekDay_Month_Day_Year_.txt"
5. 病毒还会修改注册表，添加启动项，以实现开机自启：
[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
"Microsoft" = "expl0rer.exe"
6. 此外，该后门病毒还就有文件操作、创建服务、盗取密码等功能，通过开启网络
端口，病毒体随时等待远程指令的控制。