病毒别名：
处理时间：2005-09-09
威胁级别：★
中文名称：土匪
病毒类型：Win32病毒
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个感染型病毒，病毒运行后会首先感染explorer.exe文件，当被感染的
explorer.exe再次运行时，病毒代码会创建线程，感染从F:至Z:盘的所有EXE文
件，同时病毒线程还会监控键盘，窃取用户密码，病毒线程还会连接固定的网址，
下载更新病毒。
1. 病毒体将自身添加在EXE文件的尾部，并通过修改EXE程序的入口，获得程序控制权。
病毒代码还会自行建立API函数导入表。
2. 病毒体为了修改正在执行的EXE文件，病毒会关闭WINDOWS的文件保护机制。
3. 病毒代码遍历系统进程，通过比较进程ID号，判断运行的EXE文件是否是explorer.exe
文件。如果不是explorer.exe文件，病毒体会尝试修改explorer.exe文件，并在文件
的末尾标记感染标志字节0x00424642；如果运行进程是explorer.exe文件，病毒体会
开启线程，由于系统启动后，explorer.exe总是要运行的，所以explorer.exe一旦被
感染，病毒线程总是会被开启的。
4. 被开启的病毒线程会搜索从F:至Z:盘的所有EXE文件，并进行感染。
5. 病毒线程还会利用系统钩子，监控用户的键盘操作，并将记录保存在%SYSTEM%目录
下AdvKey.dll文件中。
6. 病毒线程还能连接网络，下载更新病毒体。