Win32.Troj.MirPirate30

编写工具:

传染条件:

发作条件:

系统修改:
A、将自身复制为："%SystemRoot%svch0st_.exe"
释放一个DLL到:"%SystemRoot%lsas.bmp"
假如不是从"%SystemRoot%svch0st_.exe"启动，则自我删除。
B、将注册表主键HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionWinlogon下的
"Shell"="Explorer.exe"(windows默认)
修改为：
"Shell"="Explorer.exe%SystemRoot%svch0st_.exe"
　以在系统启动的时候启动木马

发作现象:
试图关闭防火墙。（关闭如下防火墙）
"SymantecAntiVirus企业版"
"江民杀毒软件KV2004：实时监视"
"PasswordGuard.exe"
"RavMon.exe"
"LockDown"
"ZoneAlarm"
"天网防火墙"
"噬菌体"
"木马克星"
"EGHOST.EXE"
"MAILMON.EXE"
"KAVPFW.EXE"

非凡说明:
该木马截取传奇游戏的帐号信息发送到指定邮箱。并会关闭大多数防火墙。
该病毒生成机使用了号称采用了变形特征码技术，使得每一个生成的木马文件结构都不一样。