Win32.Troj.Mir2.qc

病毒别名：

处理时间：

威胁级别：★★

中文名称：传奇木马

病毒类型：木马

影响系统：Win9x/WinNT/Win2K/WinXP/Win2003

病毒行为:

编写工具:Borland Delphi 6.0 - 7.0 用UPX进行压缩。

传染条件:网络下载

发作条件:用户进行传奇网络游戏时

系统修改:

A、木马运行后会将自身复制到系统目录下：

%System%svch0st_.exe

B、1、在注册表主键：

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

添加如下键值：

"svch0st_.exe" = "svch0st_.exe"

2、在注册表主键：

SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

修改为如下键值：

"Shell" = "Explorer.exe svch0st_.exe"

发作现象:

A、当用户打开游戏后，木马合记录传奇游戏的相关信息，并将信息以下面的格式发送到脚本网页中：

http://IP地址?Tomail=&gameid=&password=&quyu=&mirserver=&js1=&js1sex=&js1zy=&js1dj=&js2=&js2sex=&js2zy=&js2dj=&js2dj=

再由网页转发邮件

B、木马如果发现如下窗口存在则关闭这些程序

Symantec AntiVirus 企业版

江民杀毒软件 KV2004：实时监视

RavMon.exe

RavMonClass

TfLockDownMain

ZoneAlarm

ZAFrameWnd

天网防火墙个人版

特别说明: