病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
26896
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个盗取传奇帐号密码的木马,它还能关闭大量的反病毒软件的进程.
1:拷贝与释放文件
病毒被运行后,会把自己拷贝到programfiles目录下,并命名为svhost32.exe
并在system32下释放一个名为ztdll.dll的文件,该文件是个风险程序,病毒名为
Win32.RISKWARE.PswGameSnd.b.39936
2:更改注册表
病毒会修改以下注册表中的值,使病毒能随Windows启动
HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows
load->C:\ProgramFiles\svhost32.exe
3:中止特定的进程
病毒会中止掉以下进程名的进程
iparmor.exe
ravmond.exe
ravmon.exe
adam.exe
EGHOST.exe
MAILMON.exe
KAVPFW.exe
KVMonXP.KXP
KRegEx.exe
KVXP.KXP
4:加载dll
病毒会把ztdll.dll插入Explorer.exe进程的空间中,该DLL是用于发送病毒获得的密码
5:截取并发送游戏帐号与密码
病毒会通过寻找窗口标题的方法来寻找传奇登录的窗口,若发现,就通过钩子读取用户输入的游戏帐号
与密码,并把得到的帐号与密码通过邮件的方式,插入到Explorer.exe进程中的ztdll.dll模块发送到黑客