Win32.Troj.PSWLmir.kj

  

病毒别名：Trojan.PSW.Lmir.kj【AVP】
处理时间：
威胁级别：★★
中文名称：
病毒类型：木马
影响系统：Win9x / WinNT

这是一个盗取传奇游戏帐号信息的并且感染可执行文件的病毒。该病毒首先会尝试用多种进程枚举的方式，关闭一些常用病毒防火墙和一些反木马程序，如瑞星防火墙、天网防火墙、木马克星等。在Win9x下将自己注册为后台服务，隐藏自己的进程。它会感染适当大小的可执行程序，将自己写到可执行程序的前面，当运行被感染的程序时首先运行的是病毒。他就挂钩系统的鼠标和键盘消息，截取用户的传奇帐号信息，并将这些帐号信息发送到木马种植者预定的邮箱。

1.将自己复制为：%SystemRoot%GOG.exe，%SystemRoot%GOG.sys, %SystemRoot%GOG.tmp，并在当前目录下生成<病毒文件名>.sys, <病毒文件名>.tmp。

2.修改注册表。
添加启动项：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices
"GOG"="%SystemRoot%GOG.exe"

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
"GOG"="%SystemRoot%GOG.exe"

修改注册表：
HKEY_CLASSES_ROOTlegend of mir2
"WinX"="1"
"NowCount"="0"

3.查找窗口名和窗口类，关闭瑞星防火墙，天网防火墙，木马克星，噬菌体，LockDown，ZoneAlarm，并关闭以下进程：
EGHOST.EXE
MAILMON.EXE
netbargp.exe

在Win9X下将自己注册为后台服务，使病毒进程不出现在任务列表中。

4.感染适当大小的可执行程序，将自身写到可执行程序的前面，并将该可执行程序追加到病毒的尾部，在新生成的文件的尾部保存了某些病毒信息。

5.发送用户的计算机信息以及传奇帐号信息给预定的邮箱。

6.该病毒用ASPack加壳。