Trojan.PSW.Lmir.pj_病毒数据库

病毒名称: Trojan.PSW.Lmir.pj 类别：木马病毒病毒资料：      破坏方法：

    窃取游戏"传奇"信息的木马病毒

    采用Delphi编写，UPX压缩。

    病毒运行后有以下行为：

    一、将自己复制到％SYSDIR％目录下，文件名"svch0st_.exe"。

    二、修改注册表：
    1.HKEY_CURRENT_USER\SoftWare\Microsoft\Windows\CurrentVersion\Run
    增加数据项："svch0st_.exe" 数据值为："svch0st_.exe"

    2.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT
    \CurrentVersion\Winlogon 修改数据项："Shell" 修改后的数据值

    为："EXPlorer.exe svch0st_.exe"

    （正确的数据值为"Explorer.exe"）

    三、结束以下反病毒软件和监控软件的进程：
    Symantec AntiVirus 企业版
    江民杀毒软件 KV2004：实时监视
    瑞星杀毒软件
    天网防火墙个人版
    天网防火墙企业版
    木马克星
    EGhost
    MAILMON
    卸载"密码防盗专家综合版"

    四、释放文件"LSAS.bmp"和"STAK.bmp"，这两个文件实际上是两个动态库文件。"STAK.bmp"提供了拦截"OpenProcess"API的接口，导致其他进程无法打开"svch0st_.exe"的进程，因此也无法结束"svch0st_.exe"的进程。"LSAS.bmp"用于挂接鼠标和键盘钩子，以窃取游戏"传奇"信息。


    如果用户在自己的机子上发现有该病毒，建议用户打开瑞星的实时监控进行查杀。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ：      Windows下的PE病毒。
发现日期： 2004-6-29