病毒描述：

该病毒运行后，释放若干病毒副本到%Windows%与%\System32\%目录下，修改注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefiles为winfiles，新建键值，把exe文件与病毒文件相关联，并添加启动项，以达到开机后运行病毒与打开任意程序即运行病毒的目的。该病毒会盗“征途”、“魔兽”等网络游戏的个人信息，发到指定网站。

行为分析：

1、释放下列副本与文件

%\Program Files\Common Files\% 　　　　iexplore.pif

%\Windows\%　　　　　1.com

%\Windows\%　　　　　ExERoute.com 　　 Trojan-PSW.Win32.WOW.bv

%\Windows\%　　　　　explore.com 　　　同上

%\Windows\%　　　　　finder.com　　　　同上

%\Windows\%　　　　　KB890859.log　　　同上

%\Windows\%　　　　　WINLOGON.EXE　　　同上

%\Windows\%LastCood\INF\oem5.inf

%\Windows\%LastCood\INF\oem5.PNF

%\System32\%command 指向MS-Dos的快捷方式

%\System32\%　　　　 dxdiag.com 　　　 同上

%\System32\%　　　　 finder.com 　　　 同上

%\System32\%　　　　 msconfig.com　　　同上

%\System32\%　　　　 regedit.com　　　 同上

%\System32\%　　　　 rundll32.com　　　同上

D:\autorun.inf

D:\pagefile.pif

2、新建注册表键值：

在此键值下新建若干病毒释放文件相关键值

HKEY_CURRENT_USER\Software\Microsoft\Windows

\ShellNoRoam\Bags\15\Shell\

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles\

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles

\Shell\Open\Command\@

键值: 字符串: "C:\WINDOWS\ExERoute.exe "%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

\iexplore.pif\shell\open\command\@

键值: 字符串:""C:\ProgramFiles\common~1\iexplore.pif""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\Torjan Program

键值: 字符串: "C:\WINDOWS\WINLOGON.EXE"

HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery

\LastGood\

HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery

\LastGood\INF/oem5.inf

键值: DWORD: 1 (0x1)

3、病毒会检测下列进程，并关闭

ravmon.exe　　　瑞星的实时监控组件

trojdie*　　　　江民监控程序

kpop*

ccenter*　　　　瑞星杀毒软件控制台相关程序

*assistse*

kpfw*　　　　　 天网个人防火墙

agentsvr*

kv*　　　　　　 江民杀软进程

kreg*

iefind*

iparmor* 　　　 木马克星

svi.exe

uphc*

rulewize*

fygt*

rfwsrv*

rfwma*

4、通过修改WOW/\realmlist.wtfr文件中地址，可转换服务器。

us.logon.worldofwarcraft.com 　　美服

eu.logon.worldofwarcraft.com　　 欧服

tw.logon.worldofwarcraft.com 　　台服

搜集信息包括;

companyname;filedescription;fileversion;internalname;legalcopyright;

originalfilename;productname;productversion;comments;legaltr

注： % System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\ Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

清除方案：

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

WINLOGN.EXE

(2) 删除病毒文件

%\Program Files\Common Files\%

%\Windows\%　　　　　　　1.com

%\Windows\%　　　　　　　ExERoute.com

%\Windows\%　　　　　　　explore.com

%\Windows\%　　　　　　　finder.com

%\Windows\%　　　　　　　KB890859.log

%\Windows\%　　　　　　　WINLOGON.EXE

%\Windows\%LastCood\INF\oem5.inf

%\Windows\%LastCood\INF\oem5.PNF

%\System32\%command 指向MS-Dos的快捷方式

%\System32\%　　　　　　dxdiag.com

%\System32\%　　　　　　finder.com

%\System32\%　　　　　　msconfig.com

%\System32\%　　　　　　regedit.com

%\System32\%　　　　　　rundll32.com

D:\autorun.inf

D:\pagefile.pif

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

修改HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles//本文来自电脑软硬件应用网www.45its.com转载请注明

为HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

\shell\open\command

"%1" %*

修改键值 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles

\Shell\Open\Command\@

键值: 字符串: "C:\WINDOWS\ExERoute.exe "%1" %*"

为HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

\shell\open\command

键值: 字符串: "%1" %*

删除注册表项:HKEY_CURRENT_USER\Software\Microsoft\Windows

\ShellNoRoam\Bags\15\Shell

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\Torjan Program

键值: 字符串: "C:\WINDOWS\WINLOGON.EXE"//本文来自电脑软硬件应用网www.45its.com转载请注明