后门程序
病毒运行后将自己复制到％SYSDIR％目录下，文件名为"TASKCFG.EXE"，并在SYSTEM目录下新建一个文件夹"ime"并将自己复制多份到该目录。
修改注册表：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\RunService
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\RunOnce
以达到其自启动的目的；
并修改注册表
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Policies\System
设置数据项"DisableRegistryTools"值为1，以禁止用户使用注册表编辑工具。
从注册表中搜索以下软件的CD KEY：
Tiberian Sun
Red Alert 2
IGI 2 Retail
Command & Conquer Generals
FIFA 2003
NFSHP2
The Gladiators
Soldier of Fortune II
Neverwinter
Rainbow Six III RavenShield
Battlefield 1942 Road To Rome
Battlefield 1942
IGI 2 Retail
Counter-Strike
Unreal Tournament 2003
Half-Life
通过猜测$IPC密码传播。
'Steven'
'Steve'
'Stevan'
'Stetson'
'Sterling'
'Stephon'
'Rudy'
'Rudolph'
'Rudolf'
'Rubin'
'Ruben'
'Royce'
'Rocco'
'Roberto'
'Robert'
'Robby'
'Robbie'
'Robb'
......
由于该病毒有一个非常大的密码字典，建议用户将自己的系统管理员密码设置复杂一些。
为其控制端提供下载文件、发送消息、获取本机信息、对指定IP进行洪水攻击等服务，使控制端可以通过IRC软件对服务端进行远程控制。
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2003-12-22
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
