一、“偷取者”（Trojan-GameThief.Win32.OnLineGames.tkyl） 威胁级别：★★★

    该病毒属于盗号木马，病毒运行后，首先在%WinDir%\MayaBaby目录下创建MayaBabyDll.dat、rizxw.dat；停止Beep服务，复制rizxw.dat替换原系统文件beep.sys，然后执行Beep服务，这样系统重新启动时，原系统服务Beep便会加载被替换了的驱动文件rizxw.dat；恢复SSDT，SSDT一旦被恢复到原始状态，可以使大多数杀软（如卡巴、瑞星、Tiny等）监控全部失效；随后复制自身到%WinDir%\MayaBaby下，新增注册表项，创建病毒服务network services，以达到随机启动病毒文件的目的；通过给当前系统执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，如存在便终止以上进程；在%System32%下生成me.bat，用于删除原病毒文件和自身。

二、“疯狂下载者qs”（Worm.Win32.Downloader.qs） 威胁级别：★★★★

    该病毒为蠕虫类，病毒运行后，在%Systme32%下衍生病毒文件atielf.dat；当用户连接Internet时，将读取atielf.dat进而获取病毒列表文件update.txt中的URL，从而下载并读取其信息下载病毒文件在本机运行；通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe进程，存在便通过API函数"SetSystemTime"修改系统时间为2001年，月、日不变，以使卡巴斯基过期失效。新增注册表项，映像劫持多款安全软件，以降低系统的安全性；调用svchost.exe进程加载病毒服务；此病毒完全执行自身代码后，会结束自身进程、删除自身，病毒还会随机启动。

安天反病毒工程师建议