【简 介】
“木马下载器73728”（Win32.Troj.Delf.se.73728），这是一个木马下载器。它本身对系统安全没有破坏性，但会利用IE浏览器建立远程服务，下载其它木马到用户电脑上运行。 |
|
|
|
|
“木马下载器73728”（Win32.Troj.Delf.se.73728），这是一个木马下载器。它本身对系统安全没有破坏性，但会利用IE浏览器建立远程服务，下载其它木马到用户电脑上运行。
“磁碟机变种102400”（Worm.VcingT.w.102400），这是一个磁碟机下载器的变种。它会破坏一些安全工具和杀毒软件的正常运行,并反复写注册表来破坏系统安全模式。病毒还会在每个分区下释放AUTORUN.INF来达到自运行。在发作后期，它会下载大量其它木马程序到用户电脑上。
一、“木马下载器73728”（Win32.Troj.Delf.se.73728）威胁级别：★
这是一个威胁级别较低的木马下载器，它对系统不具备直接的破坏能力。病毒进入用户的电脑后，在系统盘根目录下释放出病毒文件temp.exe，从名称上看，一些对系统不熟悉的用户可能会以为它是系统的临时文件，因此掉以轻心。
文件释放完毕后，病毒会立即运行，查找用户正在使用中的IE浏览器窗口，如果查找到则会为该窗口对应的进程创建远线程，利用IE浏览器的进程空间来实现隐蔽的下载
经毒霸分析人员的检查，该病毒会从http://w*8.vg/这个由木马种植者指定的地址一个名为ss.exe的病毒文件，这个病毒文件其实是另一个下载木马。最终的下载动作其实是由它来完成。一旦ss.exe成功运行，就会有大量的盗号木马等恶意程序进入到本地机器执行。引发无法预计的系统安全事故。
关于该病毒的详细分析报告，在金山病毒大百科中可以查阅：http://vi.duba.net/virus/win32-troj-delf-se-73728-50470.html
二、“磁碟机变种102400”（Worm.VcingT.w.102400）威胁级别：★★
昨日毒霸的分析师截获一个磁碟机病毒的最新变种，这是目前所发现具备对抗安全软件能力的木马下载器中，破坏能力最大的一个。
病毒进入系统后，在系统盘目录下释放一个NetApi00.sys病毒文件，并创建服务加载它。从而修改注册表破坏文件夹选项的隐藏属性修改，使隐藏的文件无法被显示，并造成安全模式被破坏。它还会反复改写注册表，破坏安全模式和杀毒软件和主动防御的服务，使很多主动防御软件和实时监控无法再被开启。
病毒通过修改系统默认加载的DLL列表项来实现DLL注入，并在注入后设置全局监视，然后通过远程进程注入来查找窗口标题的关键字，以判断用户是否有使用安全软件。
找到带有关键字的窗口后，就往目标窗口发送大量的垃圾消息，使其无法处理而进入假死的状态，当目标窗口接受到退出、销毁和WM_ENDSESSION消息就会异常退出。由于病毒自带的关键词库较为庞大，几乎所有市面上已有的安全软件都会被它解决掉。
应该说，通过查找窗口标题来关闭杀毒软件的方法没有什么创新，从AV终结者之后，不少病毒都会通过这种方法来对抗杀软。但此病毒内带的安全产品关键字，变得更短，使一些名字相近的进程或窗口也被关闭。
当所有的安全软件全被缴械后，病毒就开启远程连接，疯狂下载大量其它恶意程序到用户电脑中运行。由于下载量很大，并且这些恶意程序大部分为盗号木马，用户的系统资源会迅速占用。电脑变得奇慢无比，最后“一死了之”。
值得注意的是，此病毒除破坏已有安全软件的防护外，它也具有一套“主动防御机制”。倘若检测到自己的病毒进程被关闭，它就会立即又启动病毒进程，若某些安全工具（比如安全厂商临时开发的专杀）阻止了它启动进程，病毒就立刻切断电源，重启系统！如果你发现自己的电脑中突然出现大量木马，并且使用升级后的安全软件也无法正常开机，那很有可能就是中了此毒。
不过，已安装毒霸的用户不必担心，因为毒霸可彻底查杀此毒。如果未安装毒霸的电脑出现中毒症状，可登录毒霸网站下载免费的专杀工具。
关于此病毒的详细分析报告，可在病毒大百科中查阅：http://vi.duba.net/virus/worm-vcingt-w-102400-50471.html
金山反病毒工程师建议
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。
【责任编辑 王凡】
|
|
|
 焦点文章
| | |
|
|
相关文章
|
