病毒行为：
这是个盗取用户魔兽世界帐号的木马。

1、添加如下注册表项使病毒自启动：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Timer Service "%当前病毒文件全路径%"

2、通过查询注册表项：SOFTWARE\Blizzard Entertainment\World of Warcraft\InstallPath 来获得魔兽世界的安装路径，在该路径下搜索名为realmlist.wtf的文件，
判断该文件中是否有以下字符串来确定是否为国服一到六区的帐号，有则盗取帐号：
SET realmlist "cn1.grunt.wowchina.com"
SET realmlist "cn2.grunt.wowchina.com"
SET realmlist "cn3.grunt.wowchina.com"
SET realmlist "cn4.grunt.wowchina.com"
SET realmlist "cn5.grunt.wowchina.com"
SET realmlist "cn6.grunt.wowchina.com"

3、创建一个全局消息钩子WM_JOURNALRECORD，通过钩子函数来截获系统消息，获得当前窗口，判断是否为魔兽世界窗口，是则获得窗口内容进行盗号。

4、将获得的魔兽世界帐号发送到指定的网页：http://ms.ye***.cn/ms/login.asp

5、由于对截获的消息处理不当，用户中毒后会出现鼠标和键盘使用失灵的状况。