病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
61644
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒为Win32平台下的专门针对于江山网络游戏的盗号型木马，病毒运行后将自身添加至系统文件夹，释放出盗号主程序，然后在后台监视用户帐号密码信息，获取帐号密码信息后将其发送给病毒作者指定的邮箱。
病毒主要通过软件捆绑或欺骗方式进行传播。
1、病毒运行时将自身复制为以下文件:
%Windir%\system32\agetltjer.exe
2、同时在系统目录下生成记录文件:
%Windir%\system32\rastuejs.dll
3、通过查找查找窗体名为"JSUpdate--http://js.catv.net/default.asp"或窗体名和类名都为:"江山"方式定位江山
游戏进程。
4、在Win9x系统下，病毒调用"RegisterServiceProcess"api隐藏病毒进程。
5、病毒运行过程中终止以下相关反病毒软件:
kav32.exe
kvsrvui.exe
symantec.exe
kvxp.kxp
pwf.exe
system.exe
iparmor.exe
kvmonxp.kxp
kavsvc.exe
kav.exe
rfwsrv.exe
rfwmain.exe
ravtimer.exe
ravstub.exe
adam.exe
ravmond.exe
ravmon.exe
6、病毒添加如下注册表自启动项，使病毒开机后自动运行:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
RavUpfer=c:\winnt\system32\agetltjer.exe
7、病毒获取了游戏账号密码信息后发送信息至病毒作者指定的邮箱。