20CN网络安全小组论坛 - 病毒专区 - 麦咖啡查出PWS-LegMir等高手来搞定！在线等

论坛: 病毒专区标题: 麦咖啡查出PWS-LegMir等高手来搞定！在线等

复制本贴地址

作者: cuiweiqi [cuiweiqi]

论坛用户

我上网查了一下没什么好的解决办法，在20CN搜索了一下也没相关的贴，本人又对木马原理不太懂只好来求救了，要不再不行只要恢复了。

[此贴被背着书包上学(cuiweiqi) 在 09月01日20时14分编辑过]

地主发表时间: 04-09-01 19:41

回复: lqfrla [lqfrla]

论坛用户

楼主说的可是这个！！！

Win32.PSW.Lemir.I 03年12月05

病毒名：Win32.PSW.Lemir.I
别名：PWS-LegMir (McAfee),
PWSteal.Trojan (Symantec),
Trojan.PSW.Legendmir.ai (Kaspersky),
W32/Legendmir.AW (F-Secure),
Win32/PSW.Lemir.I.Trojan
种类：Win32
类型：特洛伊

传播性：低
破坏性：中
普及度：低

特征：
Win32.Lemir.I是窃取密码的特洛伊木马。是一个大小为25，600的ASPACK。

感染方式：
Lemir.I拷贝自己到WINDOWS目录里的internet.exe，并在注册表里建立一个键来是自己能在windows启动时自动启动。
HKLM\SoftWare\Microsoft\Windows\CurrentVersion\Run\Internet = "%Windows%\Internet.exe"

提示：‘%system%’是一个变量。蠕虫根据此变量来获得当前操作系统的目录。WIN2000和NT的默认目录是c:\winnt\system32;98，95和ME的是c:\windows\system;XP的目录是c:\windows\system32.

危害：
窃取密码

Lemir.I把密码改成Legend of Mir2，然后把搜集到的信息通过SMTP服务器发送到jlbshyf1797@tom.com。

终止进程：
它会试图终止以下和安全性有关的产品的运行：
RavMon.exe
天网防火墙个人版
天网防火墙企业版
木马克星
噬菌体
ZoneAlerm

它还试图终止以下安全产品的进程的执行：
"EGHOST.EXE"
"MAILMON.EXE"
"KAVPFW.EXE"
"NETBARGP.EXE"

检测/清除
KILL安全胄甲 inoculateIT v23.63.39可检测/清除此病毒。

B1层发表时间: 04-09-01 22:51

回复: cuiweiqi [cuiweiqi]

论坛用户

谢

B2层发表时间: 04-09-02 15:17

论坛: 病毒专区