该病毒为远程控制木马类,病毒运行后获取%temp%目录,衍生kendy.exe、baixue.exe到该目录下,调用WinExec函数加载kendy.exe、baixue.exe病毒文件,kendy.exe运行之后复制自身到%Program Files%\_rejoice819.exe,%Program Files%\Common Files\Microsoft Shared\MSInfo\rejoice819.exe下,创建注册表病毒服务,以服务方式加载病毒文件,该病毒文件经分析为远程控制类木马,创建iexplore.exe进程通过连接域名转向IP地址,等待病毒作者发送控制指令,BaiXue.exe为正常文件无任何恶意行为,用于病毒辅助工具,运行之后提示错误信息,误导用户认为文件为损坏的,该病毒运行时释放木马过程用户是无法看到的,所以很轻易使用户受到欺骗。
[ 此贴被12344qwe在2009-04-25 17:57重新编辑 ]