病毒文件：

c:\windows\lewbmx.exe
c:\windows\ifrein.exe
c:\windows\WinForm.exe
c:\windows\msccrt.exe
c:\windows\MsIMMs32.exe
c:\windows\AVPSrv.exe
c:\windows\upxdnd.exe
c:\windows\DbgHLp32.exe

msccrt  c:\windows\system32\msccrt.dll
upxdnd木马  c:\windows\system32\upxdnd.dll
天龙八部盗号木马 c:\windows\system32\AVPSrv.dll
问道游戏盗号木马 c:\windows\system32\MsIMMs32.dll

测试环境：冰点6.2企业版，c d两盘保护，e盘不保护。xp sp2，所有补丁打齐，无杀软。

测试步骤：

1，运行：运行后没感觉，没任何提示，进程也没有多什么，我是开着进程管理来运行的，运行后，进程数没增，没有一点异样。

2，第一次重起系统：重起后，进程多了一个东东，看下面图，冰点呼不出，时间没变：

此主题相关图片如下：

这个时候，QQ登陆以后，5秒钟自动关闭，看进程，又多了一个qqsrc.exe。

呵呵，这是简单的，恶毒的在后面，看图，这是第一次重起后的情况：

c盘里面多了8个exe文件和两个日志文件，但是这个时候，这8个文件是没运行的

此主题相关图片如下：

接下来看注册表，8加了7个问件进启动项目，看图：

此主题相关图片如下：

够狠吧，这个时候，这8个文件是可以删除的，惟独那2个日志文件删不掉，提示正在使用，下面将日志文件内容发出来：

首先是wiadebug.log,内容为：

wiaservc.log内容：

这个时候，大家都以为冰点被破了，其实不然，还是有保护的，手动在保护的分区建立了几个文件，重起后没了，但是呼不出来冰点。

查了所有开机启动项目和服务器项目（用卡卡），都没找到关键的文件在哪里，同时查看到2个隐藏进程，一个叫844，一个是924，没有文件路径，但是无法结束。

第3次启动：所有木马都运行了.....

有人说可能是感染了未保护的e盘，我也这样认为的，可惜我将所有隐藏文件都显示，逐个查看，没找到可疑的东西....

总结：这个病毒就是相当于先把冰点关闭，然后写入文件，然后再开启冰点..

清除及防范：若对系统操作不熟练，无法实施手工清除，可以下载方舟广谱病毒疫苗，运行arksafe1.bat后，按1键即可清除。若此病毒变种，可以按9在线升级病毒库，若病毒库也不没有此病毒名，可以参考方舟广谱病毒疫苗中的说明readme.txt，自定义加入病毒名。并给本站留言，我们将及时升级病毒包。

方舟广谱病毒疫苗下载地址：www.fz49.com/view-398.html