一个蠕虫病毒
病毒行为：
病毒运行后，将首先从注册表以下键中读取SMTP服务器地址以备发送邮件时使用
HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager
\Accounts
及HKEY_CURRENT_USERSoftware\Microsoft\Office\Outlook
\OMI Account Manager\Accounts
病毒将自己复制到％WINDOWS％及％SYSTEM％目录下，文件名分别为：RASOR38A.DLL和
winpsd.exe
并在注册表:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run中加入自己的键值
winpsd=％SYSTEM％\winpsd.exe以达到自启动目的。
下载文件：
病毒会尝试连到特定的网站并下载一个文件执行。
病毒判断当前系统时间是否大于2004年8月20号21点。（如果当前时间超过病毒将自动
退出）
否则：
病毒将进行邮件传播。
搜取邮件地址：
1.病毒将从注册表HKEY_CURRENT_USER\Software\Microsoft
\WAB\WAB4\Wab File Name中读出
通讯本文件名。并尝试从中提取email地址。
2.病毒从用户环境串中找到Temporary Internet Files等目录，并尝试从中提取
email地址。
3.病毒搜索以下扩展名的磁盘文件。并尝试从中提取email地址。
.txt,.htmb,.shtl,.PHPq,.ASPd,.dbxn,.tbbg,.adbh,
病毒将不向email中带有以下字串的发送病毒邮件：
avp.syma..icrosof.MSN.hotmail.panda.sopho.borlan.inpris.example.mydomai.
nodomai.
ruslis.gov.gov.mil.foo.berkeley.unix.math.bsd.mit..ibm.com.Google.
.kernel.Linux
...
邮件标题：
photos
邮件正文：
LOL!;))))
邮件附件名：
photos_arc.exe
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2004-8-16
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
