落雪木馬專殺工具 V1.1 綠色版

落雪”木馬也叫“游戲大盜”（ Trojan/PSW.GamePass），由VB程序語言編寫，通過 nSPack 3.1 加殼處理（即通常所說的“北斗殼”North Star），木馬文件圖標(biāo)一般是紅色的圖案，偽裝成網(wǎng)絡(luò)游戲的登陸器。

1、病毒運行后，在C盤program file以及windows目錄下生成winlogon.exe、regedit.com等14個病毒文件，病毒文件之多比較少見，，事實上這14個不同文件名的病毒文件系同一種文件，“落雪”之名亦可能由此而來。

2、病毒文件名被模擬成正常的系統(tǒng)工具名稱，但是文件擴展名變成了 .com。江民反病毒工程師分析，這是病毒利用了Windows操作系統(tǒng)執(zhí)行.com文件的優(yōu)先級比EXE文件高的特性。

3、當(dāng)用戶調(diào)用系統(tǒng)配置文件Msconfig.exe的時候，一般習(xí)慣上輸入 Msconfig，而這是執(zhí)行的并不是微軟的Msconfig.exe程序，而是病毒文件 Msconfig.com ，病毒作者的“良苦用心”由此可見。

4、病毒另一狡詐之處還有，病毒還創(chuàng)建一名為winlogon.exe的進(jìn)程，并把 winlogon.exe 的路徑指向c:\windows\winlogon.exe，而正常的系統(tǒng)進(jìn)程路徑是C:\WINDOWS\system32\ winlogon.exe，以此達(dá)到迷惑用戶的目的。

5、江民反病毒工程師介紹，除了在C盤下生成很多病毒文件外，病毒還修改注冊表文件關(guān)聯(lián)，每當(dāng)用戶點擊html文件時，都會運行病毒。

6、病毒在D盤下生成一個自動運行批處理文件，這樣即使C盤目錄下的病毒文件被清除，當(dāng)用戶打開D盤時，病毒仍然被激活運行。這也是許多用戶反映病毒屢殺不絕的原因。