病毒别名：Trojan.Spy.IeSpy.q或者Worm.Snake.a（瑞星）
★黑基空间★ @ A
Z#{a病毒大小：3,515,723 字节
L9x+v/i
~
C0加壳方式：无
2sb@ d@
\ XCi!j0样本MD5：3efdfddfffe5cf4ad40c5368c336a702
!g#H ~k B-~H0发现时间：2006.5.19
★黑基空间★d&v@0b+P x更新时间：2006.6.1
★黑基空间★\ jBR M%M:e b关联病毒：
★黑基空间★"MjxCD b%k+~.A传播方式：通过U盘、移动硬盘、MP3等
R#? e m$aU&g0中毒特征：生成RavMonE.exe、RavMoneE.exe.log、RavMonlog
Cg)nu
p7Y t1DCN8k [0病毒简介：用PYTHON语言编写，py2exe打包
\?*kD
c2x/Q0变种特征：RavMon.exe、AdobeR.exe
★黑基空间★/LH9zRSE(R"b f★黑基空间★?&c/~
p+M*@★黑基空间★9W/}
e
n+G&J^h'^1. 运行后生成
★黑基空间★z*t6]#D%zD$pu3sp%windows%\RavMonE.exe（3,515,723 字节）——病毒本身
★黑基空间★?m Q}Q"zg@msvcr71.dll（348,160字节）——库文件，支持病毒运行
★黑基空间★f&U ~+en V
vRavMoneE.exe.log（644字节）
★黑基空间★ aJk xQ5]+w:YRavMonlog（5字节）
4W~3e-C
]]1v|0Autorun.inf（103字节）
★黑基空间★ p+Hd
[9K&@S-_8{.K"[r#E02. 添加注册表
★黑基空间★bG_G b j!]Kat
I!|R HO;?eH*N0[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
8T(^f0Q lT1G{] __0"RavAV" = "\%windows%\RavMonE.exe"
★黑基空间★f'F,q[D★黑基空间★Bs;O6yK5@3. Autorun.inf内容：
Xuk1]yM%R?B4h0[AutoRun]
★黑基空间★U#M3NK\ W }&xopen=RavMonE.exe e
★黑基空间★`@mw5N
m a!h @2K~7Yshellexecute=RavMonE.exe e
★黑基空间★s e'x|9m)l Ashell\Auto\command=RavMonE.exe e
★黑基空间★7LK)}%`[~"D k7e
W^shell=Auto
"Hd X;zQ5dE0用来启动RavMonE.exe
★黑基空间★ D)k#r {
X2g:E7Zz+\
L^6eI04. RavMoneE.exe.log内容：
★黑基空间★^0h/r a${/_@Traceback (most recent call last):
★黑基空间★8T6} QR m2xw U FFile "RavMonE.py", line 1, in ?
★黑基空间★4d Um3]!?:|File "zipextimporter.pyo", line 78, in load_module
★黑基空间★1Y X| ^
f!@1rFile "twisted\internet\reactor.pyo", line 12, in ?
★黑基空间★5j-Fgd[&`File "twisted\internet\selectreactor.pyo", line 182, in install
★黑基空间★z WaXEFFile "twisted\internet\posixbase.pyo", line 168, in __init__
S#Wt4Cax]*`c0File "twisted\internet\base.pyo", line 268, in __init__
6b!w*w S&B6Ie+q0File "twisted\internet\base.pyo", line 568, in _initThreads
★黑基空间★i"xE wa Fs h,cFile "twisted\internet\posixbase.pyo", line 265, in installWaker
★黑基空间★-Q t+E4M"c3V0A+k\8~File "twisted\internet\posixbase.pyo", line 77, in __init__
;\1W~os_0X9E_0File "", line 1, in listen
5j@8h.Bf*n Le \3m0socket.error: (10022, 'Invalid argument')
★黑基空间★ ki.H qD;lZm#z-o★黑基空间★+OwM n9OE7k#^#wV5. RavMonlog内容：
,\+J8Lr SC/F016704 17608 类似的数字
)L{8T s5f
v0★黑基空间★ z wt [ T ]2hc:Q清除方法：
★黑基空间★Es,x8T|{|+H!V
U★黑基空间★5R7T^.QgSn fv,c1. 打开任务管理器（ctrl+alt+del或者任务栏右键点击也可），终止所有ravmone.exe的进程
@"f W3u!e*r#e5j0★黑基空间★ @wT#F+O&VAd0X] [ Z[2. 删除注册表
&J F'q c8J6c FX0HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
★黑基空间★'u'L M#R E8BkW"RavAV" = "C:\WINNT\RavMonE.exe"
![-Md4t yTd!n a0
A5l b;lu z }03. 删除%windows%\RavMonE.exe、msvcr71.dll、RavMoneE.exe.log、RavMonlog
★黑基空间★4D BQ4OR8[$hl%U★黑基空间★!nNUm1h U8~ b4. 打开“文件夹选项”，在“查看”选项卡中，去掉“隐藏受保护的操作系统文件”前的勾，同时选中“显示所以文件和文件夹”
★黑基空间★s#X4n f"I _5r*JRj)Q{:~%{n5AW05. 用右键打开U盘，删除包括RavmonE.exe、msvcr71.dll、RavMoneE.exe.log、RavMonlog、autorun.inf
9hL k#N3\OYe0b(^G+~ho2]0RavMon.exe和AdobeR.exe的清除方法类似。
l'@!@'q&zq4H0msvcr71.dll是用来支持病毒本身运行的，删除的时候请注意文件生成时间是否与病毒生成的时间一致
