病毒别名： 处理时间：2006-08-02 威胁级别：★
中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒是一个盗号木马。它会盗取传奇、魔兽等游戏帐号和QQ密码，
并将盗取的帐号密码提交到指定的网页。该病毒在系统中做了很强的自我保护。
建议电脑用户要升级杀毒软件和打开防火墙，以防中毒受害。
1、生成的文件
%SystemRoot%system32
undll32.com
%SystemRoot%system32finder.com
%SystemRoot%finder.com
%SystemRoot%system32command.pif
%SystemRoot%WINLOGON.EXE
%Program Files%intern~1iexplore.com
%Program Files%common~1iexplore.pif
%SystemRoot%explorer.com
%SystemRoot%1.com
%SystemRoot%ExERoute.exe
%D:%pagefile.pif
%D:%autorun.inf
%SystemRoot%system32MSCONFIG.COM
%SystemRoot%system32dxdiag.com
%SystemRoot%system32
egedit.com
%SystemRoot%DebugDebugProgram.exe
2、修改系统exe文件关联
HKLMSOFTWAREClasseswinfilesShellOpenCommand
"Default" = "%SystemRoot%ExERoute.exe "%1" %*"
3、修改System.ini中的shell项
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
"Shell" = "Explorer.exe 1"
4、修改http协议缺省启动程序
HKLMSOFTWAREClasseshttpshellopencommand
"Default" = ""%Program Files%common~1iexplore.pif" -nohome"
5、修改ftp协议缺省启动程序
HKLMSOFTWAREClassesftpshellopencommand
"Default" = ""%Program Files%Internet Exploreriexplore.com" %1"
6、修改htmlfile协议缺省启动程序
HKLMSOFTWAREClasseshtmlfileshellopencommand
"Default" = ""%Program Files%Internet Exploreriexplore.com" -nohome"
7、添加自启动项
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
"Torjan Program" = "%SystemRoot%WINLOGON.EXE"
8、该病毒在系统装了一个类型为WH_MSGFILTER消息钩子监视传奇、QQ等登陆程序，
其申请进程路径是%SystemRoot%WINLOGON.EXE
9、ExERoute.exe进程会监视并维护WINLOGON.EXE进程
10、该病毒在其他非系统盘建了一个autorun.inf，每次双击这些盘都会再次感染该病毒。
11、接收帐号密码的处理网页
http://upd.etsoft.com.cn/UPD/info_new.asp?UID=""&UID88=""
http://upd.etsoft.com.cn/upd/xyqupdate.asp?FV=""&crc=""
http://upd.etsoft.com.cn/upd/wow.htm?crc=
http://upd.etsoft.com.cn/upd/uzt
