动物家园计算机安全咨询中心&＃xff08;[url]www.kingzoo.com[/url]&＃xff09;反病毒斗士报牵手广州市计算机信息网络安全协会&＃xff08;[url]www.cinsa.cn[/url]&＃xff09;发布&＃xff1a;

本周重点关注病毒&＃xff1a;
“雁过留声盗号器118784”&＃xff08;Win32.PSWTroj.OnLineGames.118784&＃xff09; 威胁级别&＃xff1a;★★

    为了盗号&＃xff0c;病毒作者的总是想出各种各样的方法。由于杀毒软件对游戏和聊天工具等软件的进程实行严厉监视&＃xff0c;***已经越来越难以通过注入进程的方式盗号&＃xff0c;于是一些病毒作者开始在截获用户对外通讯信息方面打主意。
该病毒通过网页挂马和捆绑文件等方式混进用户电脑&＃xff0c;将病毒文件MSetole.dll和serve.exe隐藏在系统盘的%WINDOWS%\system32\目录下&＃xff0c;然后修改系统注册表&＃xff0c;把它们的相关数据写入启动项&＃xff0c;实现开机自启动。如果检查注册表&＃xff0c;可发现这两个启动项名称分别为ImagePath和ActiveService&＃xff0c;不注意的话&＃xff0c;很容易被忽视。
    接下来&＃xff0c;就该盗号了。***冒充 Internet Explorer_Server&＃xff0c;创建IE服务器&＃xff0c;在用户与真正的服务器之间建立监视。当发现用户通过IE发出帐号和密码时&＃xff0c;就被它截取了一次&＃xff0c;从而实现盗号。盗窃成功后&＃xff0c;赃物会以网页报表的形式发送到病毒作者指定的远程地址。由于普通用户在上网时需要用到的大部分帐号和密码都是通过IE发送&＃xff0c;此病毒也就成了一个“通吃”型盗号***&＃xff0c;需要警惕。
“视窗杀手248”&＃xff08;Win32.KillWin.jz.248&＃xff09; 威胁级别&＃xff1a;★★

        这个病毒可利用所有exe格式的可执行文件进行传播&＃xff0c;它将病毒代码寄生在被感染文件的节空闲处&＃xff0c;当用户运行被感染的文件时&＃xff0c;病毒就会被激活。它会从被感染文件中分离出来运行&＃xff0c;让原始文件正常运行&＃xff0c;而它却在c:盘根目录下悄悄地进行搜索&＃xff0c;删除所有能找到的boot.ini、ntldr、bootmgr文件。
    由于这些文件都是系统启动时需要调用的重要文件&＃xff0c;刚刚被删除时&＃xff0c;系统不会出现任何异常&＃xff0c;但当用户下次再开机&＃xff0c;就会发现电脑根本无法启动。虽然修复病毒造成的破坏并不复杂&＃xff0c;但这已经足以给用户的正常使用带来很大的麻烦。如果是商业电脑中了此毒&＃xff0c;那甚至可能会令用户蒙受巨额的经济损失。
    不幸中的万幸是&＃xff0c;由于该病毒并不完善&＃xff0c;它只能删除c:盘下的系统文件&＃xff0c;如果你的系统盘不在c:盘&＃xff0c;就不会受到任何影响。
“隐形鸽子192512”&＃xff08;Win32.Troj.Leapar.sb.192512&＃xff09; 威胁级别&＃xff1a;★★

    这个病毒是一个类似“灰鸽子”的远程控制***&＃xff0c;它进入系统&＃xff0c;开始运行后&＃xff0c;首先在系统临时目录下释放出一个名为XXXX.dat的配置文件&＃xff0c;其中XXXX为随机产生的四位数。
    接着&＃xff0c;病毒搜索系统中是否有杀毒软件卡巴斯基和瑞星的进程&＃xff0c;如发现&＃xff0c;则释放出自己的驱动文件&＃xff0c;造成杀软瘫痪。同时&＃xff0c;病毒在注册表中注册为windows服务&＃xff0c;实现开机自启动。这里值得一提是&＃xff0c;病毒会将自己的窗口名注册为“Microsoft Internet Explorer”&＃xff0c;类名注册为“IEFrame”&＃xff0c;试图混淆用户的判断。
    最后&＃xff0c;病毒释放出dll文件&＃xff0c;将其注入到svchost.exe中&＃xff0c;利用它的空间运行自己&＃xff0c;实现隐蔽运行。一旦病毒运行完毕&＃xff0c;此后门程序可以远程监视用户的屏幕和键盘等&＃xff0c;具有较大的危害性。而且由于它采取无进程无模块的作案方式&＃xff0c;会给普通用户的手工清除带来很大的困难。
网游帐号贪吃蛇”&＃xff08;Win32.Troj.GamesHackT.gu.94304&＃xff09; 威胁级别&＃xff1a;★★

     这个病毒它的技术含量并不高&＃xff0c;却附带有数十个DLL文件&＃xff0c;这些文件涵盖了所有目前在网络上流行的游戏。也就是说&＃xff0c;只要它能在你电脑中顺利运行&＃xff0c;你的网游帐号就会偷个精光。
    病毒进入电脑后&＃xff0c;在系统盘的%WINDOWS%\system32\目录下轮番释放出数十种DLL文件&＃xff0c;以及和 DLL 文件同名的 .CFG 格式的病毒配置文件。接着&＃xff0c;病毒将这些文件的数据写入系统注册表&＃xff0c;实现随系统启动而自动运行。
    如果能运行起来&＃xff0c;病毒DLL文件就不断注入到其它进程&＃xff0c;枚举窗口名&＃xff0c;搜索它所针对的游戏进程。一旦发现目标&＃xff0c;便通过内存读写的方式窃取玩家的账号密保等信息&＃xff0c;并将其发送到***作者指定的多个远程服务器。作案结束或而在电脑中没发现DLL文件针对的游戏&＃xff0c;它就会再释放出另一个DLL文件&＃xff0c;再次进行搜索。
    该***会盗取《剑侠情缘》、《天龙八部》、《魔域》、《卓越之剑》、《征途》、《完美国际》、《QQ 自由幻想》等几十种热门游戏。
动物家园计算机安全咨询中心反病毒工程师建议&＃xff1a;

1、从其他网站下载的软件或者文件&＃xff0c;打开前一定要注意检查下是否带有病毒。
  
2、别轻易打开陌生人邮件及邮件附件、连接等。

3、用户应该及时下载微软公布的最新补丁&＃xff0c;来避免病毒利用漏洞袭击用户的电脑。

4、尽量把系统帐号密码设置强壮点&＃xff0c;勿用空密码或者过于简单。

5、发现异常情况&＃xff0c;请立即更新你的反病毒软件进行全盘查杀或者登陆bbs.kingzoo.com(安全咨询中心)咨询