Trojan-PSW.Win32.Lmir.lq( 传奇天使 ) 分析

病毒标签：
 病毒名称： Trojan-PSW.Win32.Lmir.lq
中文名称： 传奇天使
病毒类型： 木马
危害等级： 中
文件长度： 62,525 字节
感染系统： windows9x以上的所有版本
编写语言： Microsoft Visual C++
 
病毒描述：
 　　传奇天使是专门盗取传奇账号的木马，感染后传奇天使后，该病毒会窃取传奇玩家的 区名称和 ID 名称，密码，及登陆服务器。感染该病毒后会在系统目录下生成病毒相关文件 winker.exe 或 winker.dll ，搜索反病毒及安全软件的进程，找到后便将该进程中止，通过修改注册表，启动服务，并随系统同时启动。
行为分析：
 1 、修改注册表

HKEY_LOCAL_MACHINE\Software\Classes\exefile\shell\open\command
添加键值 " 默认 "="%Windir%winker.exe" 从而达到随系统启动的目的。

2 、 在系统目录下释放文件 winker.exe 或 winker.dll 。

3 、关闭如下进程： 天网防火墙个人版，金山网镖 2003 ，瑞星杀毒软件。

4 、修改注册表，调用 kernerl32.dll 的 RegisterServiceProccess ，从而注册为服务。