簡介
病毒名稱：Worm.Win32.RJump.a（AVP）
病毒別名：Trojan.Spy.IeSpy.q或者Worm.Snake.a（瑞星）
病毒大小：3,515,723 位元組
加殼方式：無
樣本MD5：3efdfddfffe5cf4ad40c5368c336a702
發現時間：2006.5.19
更新時間：2006.6.1
關聯病毒：
傳播方式：通過隨身碟、移動硬碟、MP3等
中毒特徵：生成ravmone.exe、RavMoneE.exe.log、RavMonlog
病毒簡介：用PYTHON語言編寫，py2exe打包
變種特徵：RavMon.exe、AdobeR.exe
1. 運行後生成
%windows%\RavMonE.exe（3,515,723 位元組）——病毒本身
msvcr71.dll（348,160位元組）——庫檔案，支持病毒運行
RavMoneE.exe.log（644位元組）
RavMonlog（5位元組）
Autorun.inf（103位元組）
2. 添加註冊表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"RavAV" = "\%windows%\RavMonE.exe"
3. Autorun.inf內容：
[AutoRun]
open=RavMonE.exe e
ShellExecute=RavMonE.exe e
shell\Auto\command=RavMonE.exe e
shell=Auto
用來啟動RavMonE.exe
4. RavMoneE.exe.log內容：
Traceback (most recent call last):
File "RavMonE.py", line 1, in ?
File "zipextimporter.pyo", line 78, in load_module
File "twisted\internet\reactor.pyo", line 12, in ?
File "twisted\internet\selectreactor.pyo", line 182, in install
File "twisted\internet\posixbase.pyo", line 168, in __init__
File "twisted\internet\base.pyo", line 268, in __init__
File "twisted\internet\base.pyo", line 568, in _initThreads
File "twisted\internet\posixbase.pyo", line 265, in installWaker
File "twisted\internet\posixbase.pyo", line 77, in __init__
File "", line 1, in listen
socket.error: (10022, 'Invalid argument')
5. RavMonlog內容：
16704 17608 類似的數字
清除方法：
1. 打開任務管理器（ctrl+alt+del或者系統列右鍵點擊也可），終止所有ravmone.exe的進程
2. 刪除註冊表
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"RavAV" = "C:\WINNT\RavMonE.exe"
3. 刪除%windows%\RavMonE.exe、msvcr71.dll、RavMoneE.exe.log、RavMonlog
4. 打開“資料夾選項”，在“查看”選項卡中，去掉“隱藏受保護的作業系統檔案”前的勾，同時選中“顯示所以檔案和資料夾”
5. 用右鍵打開隨身碟，刪除包括RavmonE.exe、msvcr71.dll、RavMoneE.exe.log、RavMonlog、autorun.inf
RavMon.exe和AdobeR.exe的清除方法類似。
msvcr71.dll是用來支持病毒本身運行的，刪除的時候請注意檔案生成時間是否與病毒生成的時間一致
