“木马下载者73788”（Win32.Troj.OnLineGames.lt.73788），这是一个木马下载者，该病毒会把系统时间修改为2005年，使得卡巴斯基等杀毒软件失效。还能从指定的网址下载一个病毒文件列表，根据该列表下载并运行病毒程序。

一、“奇迹盗号木马14789”（Win32.Troj.AgentT.ya.14789） 威胁级别：★★

这是一个针对《奇迹世界》网络游戏的盗号木马。病毒运行后，在 %SystemRoot%system32目录下释放出病毒文件raqjcpi.dll和raqjcni.dll，在%SystemRoot%Fonts目录下释放出chqiaur.fon病毒文件。同时，它还将其执行文件raqjctl.exe释放到 %SystemRoot%system32 目录下。

随后，病毒修改注册表，实现随系统自动启动，并禁用 WINDOWS 防火墙和系统的自动更新功能。当完成这些工作，它就把之前生成的raqjcpi.dll文件注入其他进程，搜索是否有启动《奇迹世界》，如有，便窃取用户账号和密码等资料，并将其发送到http://www.a******n/bob/p**t.asp这个木马种植者指定的地址，造成用户虚拟财产的损失。

为避免被用户发现，此病毒还拥有自删除的功能，它会调用批处理不断删除自己。由于同时它还在不断的注入进程、搜索游戏账号和密码，用户会发现自己的电脑运行速度变得奇慢无比。

二、“木马下载者73788”（Win32.Troj.OnLineGames.lt.73788） 威胁级别：★

这是一个木马下载者，病毒运行后，在"%SystemRoot%system32目录下释放出病毒文件7B43230C.EXE和5D5AF726.DLL，还会在所有分区中生成病毒文件auto.exe与autorun.inf，使得用户双击打开磁盘时同时运行病毒。

随后，病毒修改注册表，实现用户开机时自动启动。同时，它修改系统时间为2005年，使安全软件卡巴斯基失效，而且在卡巴通知用户失效之前就将其强行关闭。为尽可能隐藏自己，病毒还会使文件夹无法显示隐藏文件，甚至还会破坏WIN系统的系统错误报告设置，阻止系统向用户报告安全问题，这样一来，用户便无法发现它。

完成以上工作后，病毒就会从指定的网址下载一个病毒文件列表，根据该列表下载并运行病毒程序，给用户造成无法估计的损失。值得一提的是，之前它生成文件的名称，是根据系统的逻辑般生成一个8位随机数。

Copyright ◎ 2004 - 2008 红客中国安全网版权所有