病毒名称:
Trojan.Lmir.WhBoy.q
类别： 木马病毒
病毒资料：
破坏方法：
武汉男生的最新变种。病毒代码放在动态库中，由另一个辅助程序帮助释放和激活。
辅助程序文件名为msapi.exe，运行将自己复制到系统目录下，文件名为msapi.exe和snet.exe，然后释放一个动态库msapi.dll到系统目录下。
修改配置文件system.ini，将boot节shell项改为shell=eXPlorer.exe％SYSDIR％\msapi.exe，
对应的注册表项是
HKLM\Software\Microsoft\Windows NT
\CurrentVersion\Winlogon\shell。
这样每次开机病毒都能启动。
msapi.exe每次运行都会创建远程线程，将真正的病毒msapi.dll注入到Explorer.exe中，从而增强病毒的隐蔽性。
病毒线程有如下特征：
一：遍历进程和窗体，结束如下反病毒软件和防火墙：密码防盗专家，Symantec AntiVirus 企业版，江民杀毒软件 KV2004：实时监视，ZoneAlarm，天网防火墙个人版，天网防火墙企业版，密码防盗，绿鹰PC，QQ病毒专杀工具，腾讯QQ病毒，噬菌体，木马克星.... 这都是在国内使用较为广泛的个人安全产品。
二：通过QQ、MSN、POPO2004、UC四种聊天工具传播，向好友发送信息。发送的消息和链接由控制端进行配置。
三：查找传奇客户端，记录账号密码，将获得的信息通过邮件发送到病毒作者指定的邮箱。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-11-29
|
