Win32.Troj.PSWLmir.kj

病毒别名：Trojan.PSW.Lmir.kj[AVP]

处理时间：

威胁级别：★★

中文名称：

病毒类型：木马

影响系统：Win9x / WinNT

病毒行为:

这是一个盗取传奇游戏帐号信息的并且感染可执行文件的病毒。该病毒首先会尝试用多种进程枚举的方式，关闭一些常用病毒防火墙和一些反木马程序，如瑞星防火墙、天网防火墙、木马克星等。在Win9x下将自己注册为后台服务，隐藏自己的进程。它会感染适当大小的可执行程序，将自己写到可执行程序的前面，当运行被感染的程序时首先运行的是病毒。他就挂钩系统的鼠标和键盘消息，截取用户的传奇帐号信息，并将这些帐号信息发送到木马种植者预定的邮箱。

1.将自己复制为：%SystemRoot%\\GOG.exe，%SystemRoot%\\GOG.sys, %SystemRoot%\\GOG.tmp，并在当前目录下生成<病毒文件名>.sys, <病毒文件名>.tmp。

2.修改注册表。

添加启动项：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices

"GOG"="%SystemRoot%\\GOG.exe"

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

"GOG"="%SystemRoot%\\GOG.exe"

修改注册表：

HKEY_CLASSES_ROOT\\legend of mir2\\

"WinX"="1"

"NowCount"="0"

3.查找窗口名和窗口类，关闭瑞星防火墙，天网防火墙，木马克星，噬菌体，LockDown，ZoneAlarm，并关闭以下进程：

EGHOST.EXE

MAILMON.EXE

netbargp.exe

在Win9X下将自己注册为后台服务，使病毒进程不出现在任务列表中。

4.感染适当大小的可执行程序，将自身写到可执行程序的前面，并将该可执行程序追加到病毒的尾部，在新生成的文件的尾部保存了某些病毒信息。

5.发送用户的计算机信息以及传奇帐号信息给预定的邮箱。

6.该病毒用ASPack加壳。