Win32.Troj.Mir2.an
病毒别名：
处理时间：2005-10-26
威胁级别：★★
中文名称：
病毒类型：木马
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒是一个盗取传奇网络游戏密码的木马，并将盗取的密码发送到指定的地方，病毒运行后
通过枚举进程，对进程名进行匹配，对含有这样字符串KWATCH* KPOP* ASSISTSE* KV* KREG*的进程结束掉
，尽可能多的结束反病毒软件的进程，同时还会修改注册表中的文件打开关联，保证自己时时被运行
1。拷贝自己到
%systemroot%services.exe
%system32%
undll32.com
%system32%finder.com
%systemroot%finder.com
%system32%command.pif
%systemroot%explorer.com
%systemroot%1.com
%systemroot%ExERoute.exe
2。添加启动项
HKLMsoftwaremicrosoftwindwscurrentversion
un
"Torjan Program = %systemroot%services.exe"
3。修改以下键值为
HKCRwinfilesShellOpenCommand
"C:WINNTExERoute.exe "%1" %*"
HKLMSOFTWAREClassesHKCRwinfilesShellOpenCommand
"C:WINNTExERoute.exe "%1" %*"
4。通过readprocessmemory来读取传奇进程中的数据，来盗取密码，并将密码发送出去