2、多个软件的安装程序捆绑了木马newup.exe。newup.exe大小2560字节，运行后将自动下载执行该网站中的网银木马svchost.exe。

　　3、网银木马svchost.exe的大小137728字节，由VB语言编写。运行后会在注册表启动项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下添加 “svchost”= “C:\DOCUME~1\a\LOCALS~1\Temp\RarSFX0\svchost.exe”这样每次 系统启动，木马程序都会自动运行。

　　4、木马可以监视IE浏览器访问的页面，如果发现用户登录某银行网上个人银行页面，那么就会弹出伪造的IE窗口（如图二所示），诱骗用户输入登录密码和支付密码。

图二

图三

　　注：图三为该行网上银行个人银行真实页面，请用户注意两页面的对比，谨防受骗上当。用户输入信息提交后，就会显示以下内容“为了给您提供更加优良的电子银行服 务，6月25日我行对电子银行系统进行了升级。请您务必修改以上信息！”，诱骗用户再次输入登录密码和支付密码。

　　5、木马会将窃取到的信息通过邮件发送到指定邮件地址

　　处置方法：

　　1、手工解决方法

　　（１）在注册表启动项中删除以下键值 　　　　　

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下　　
　　的：“svchost”= “%C:\DOCUME~1\a\LOCALS~1\Temp\RarSFX0\svchost.exe”

　　（２）搜索硬盘中svchost.exe文件，并删除。

　　2、 专杀工具清除

　　目前，北京江民公司、北京瑞星科技股份有限公司已经能够检测、清除该木马程序，广大计算机用户可以上网下载该木马的专杀工具。