Trojan.Lmir.WhBoy.q

2008-02-23 08:43:59来源：互联网阅读 ()

病毒名称: Trojan.Lmir.WhBoy.q 类别：木马病毒病毒资料：破坏方法：

武汉男生的最新变种。病毒代码放在动态库中，由另一个辅助程序帮助释放和激活。

辅助程序文件名为msapi.exe，运行将自己复制到系统目录下，文件名为msapi.exe和snet.exe，然后释放一个动态库msapi.dll到系统目录下。

修改配置文件system.ini，将boot节shell项改为shell=eXPlorer.exe％SYSDIR％\msapi.exe，
对应的注册表项是
HKLM\Software\Microsoft\Windows NT
\CurrentVersion\Winlogon\shell。

这样每次开机病毒都能启动。

msapi.exe每次运行都会创建远程线程，将真正的病毒msapi.dll注入到Explorer.exe中，从而增强病毒的隐蔽性。

病毒线程有如下特征：

一：遍历进程和窗体，结束如下反病毒软件和防火墙：密码防盗专家，Symantec AntiVirus 企业版，江民杀毒软件 KV2004：实时监视，ZoneAlarm，天网防火墙个人版，天网防火墙企业版，密码防盗，绿鹰PC，QQ病毒专杀工具，腾讯QQ病毒，噬菌体，木马克星.... 这都是在国内使用较为广泛的个人安全产品。

二：通过QQ、MSN、POPO2004、UC四种聊天工具传播，向好友发送信息。发送的消息和链接由控制端进行配置。

三：查找传奇客户端，记录账号密码，将获得的信息通过邮件发送到病毒作者指定的邮箱。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。

发现日期： 2004-11-29

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有