如题所述
当使用QQ聊天时，可能会接收到包含链接的消息，如："向你介绍一个好看的动画网： http://flash2.533.net"。点击该链接后，病毒会利用IE的漏洞尝试创建sys和tmp文件的执行关联，并下载名为"b.sys"的病毒文件。如果IE已安装补丁，用户会被提示安装一个插件，通常安装在%Windows%Downloaded Program Files%的文件夹中，文件名为"b.exe"。若用户拒绝，病毒会持续弹窗要求安装。
病毒在系统中的活动包括将自身复制到%SystemRoot%文件夹，文件名为"Rundll32.exe"；复制到"C:\cmd.exe"；并试图在共享目录中放置"病毒专杀.exe"和"周杰伦演唱会.exe"。为了持久运行，它会添加注册表启动项，设置在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下的"LoadPowerProfile"键，使其以随机方式启动。
病毒修改.exe文件的关联，使其在执行时优先运行病毒副本，修改注册表键值为：HKEY_CLASS_ROOT\exefile\shell\open\command。同时，它会新增.sys和.tmp文件的执行关联，分别在HKEY_CLASS_ROOT\sysfile\shell\open\command和HKEY_CLASS_ROOT\tmpfile\shell\open\command键下设置默认值。试图获取传奇游戏的密码后，病毒会通过内置邮件引擎，以"mj25257758@263.sina.com"的名义发送到"scmsmj@tom.com"邮箱。
在Windows 2000、WinXP和Win2003系统中，由于系统会自动保护"Rundll32.exe"文件，病毒试图覆盖此文件的尝试会失败，导致病毒无法正常运行。但病毒仍然可以通过exe文件的关联进行加载。
扩展资料
该病毒首次大规模爆发是在今年的2月18日，2月24日又出现一个类似的变种。3月下旬，该病毒又出现3个变种，增加了猜密码的功能。5月13日，该病毒再次大规模爆发，新变种完善了已有的功能，添加了感染可执行文件，反安全软件，监控内存，盗取信息等多种能力，此后又发展了多个变种，几乎使用了两年来PE病毒常用的各种技术，成为一种继“求职信”后，典型的集传统感染型病毒，蠕虫，木马黑客程序为一体的混和型病毒。许多邮件服务器都在极短时间内不堪重负而崩溃。
