病毒别名：
处理时间：2005-10-17
威胁级别：★
中文名称：
病毒类型：木马
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个盗取传奇游戏帐号和密码的木马病毒．
该病毒首先关闭大量安全软件，然后把自身释放到指定文件夹，并添加到自启动项，使病毒在开机的时候自动运行．该病毒能自动查找传奇游戏的窗口，当用户输入帐号和密码等信息的时候，便自动记录，然后提交到指定网站．
1,释放文件到以下目录:
C:WINNTExERoute.exe
C:WINNTexplorer.com
C:WINNTfinder.com
C:WINNTservices.exe
C:WINNTDebugDebugProgram.exe
C:WINNTsystem32dxdiag.com
C:WINNTsystem32finder.com
C:WINNTsystem32MSCONFIG.COM
C:WINNTsystem32
egedit.com
C:WINNTsystem32
undll32.com
2,增加注册表项:
HKLMSoftWareMicrosoftWindowsCurrentVersionRun
＂Torjan Program＂＝"C:WINNTservices.exe"
HKEY_LOCAL_MACHINESOFTWAREClasseswinfilesShellOpenCommand
＂@＂＝"C:WINNTExERoute.exe "%1" %*"
3,关闭下列进程:
RFWMA*
RAV*
KAV*
KWATCH*
KPOP*
KPFWSVC*
KV*
IPARMOR*
UPHC*
RFWMA*
等等
4,自动查找传奇游戏的窗口，当用户输入帐号和密码等信息的时候，便自动记录，然后提交到指定网站．
