病毒名称(中文):
病毒别名:
Trojan-PSW.Win32.Lmir.xm[AVP]
威胁级别:
★★☆☆☆
病毒类型:
木马程序
病毒长度:
78848
影响系统:
Win9xWinNT
病毒行为:
这是一个盗取传奇游戏帐号信息的木马病毒。该病毒挂钩系统的鼠标和键盘消息，截取用户的传奇游戏的帐号信息，并这些帐号信息发送到木马种植者。
1.创建互斥体kkk20041102防止多个病毒实例同时运行。
2.将自己复制为%SystemRoot%\help\KavSVCE.exe，释放文件%SystemRoot%\help\terxur_32.dll（病毒名：Win32.Troj.PSWMirDLL.59904）。
3.在注册表中添加
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon"shell"="Explorer.exe%SystemRoot%\KavSVCE.exe"
HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows"load"="%SystemRoot%\help\KavSVCE.exe"
4.Win9X平台，修改System.ini文件或者Win.ini文件：
==========================================================================
WIN.INI
==========================================================================
load=%SystemRoot%\help\KavSVCE.exe
==========================================================================
SYSTEM.INI
==========================================================================
shell=Explorer.exe%SystemRoot%\help\KavSVCE.exe
5.加载释放的DLL文件terxur_32.dll，调用该DLL文件导出的StartHook函数。StartHook函数调用API函数SetWindowsHookEx，挂钩系统所有能够处理键盘和鼠标消息的进程，然后系统将该DLL文件注入到被挂钩的进程。钩子函数通过查找窗口类“TFrmMain”已经窗口名“传奇客户端”，截取用户的传奇游戏帐号信息，然后发送到木马种植者指定的网页。