动物家园计算机安全咨询中心（ [url]www.kingzoo.com[/url] ）反病毒斗士报牵手广州市计算机信息网络安全协会（ [url]www.cinsa.cn[/url] ）发布：

本周重点关注病毒：

“磁碟机变种102400”（Worm.VcingT.w.102400）  威胁级别：★★

     病毒进入系统后，在系统盘目录下释放一个 NetApi00.sys 病毒文件，并创建服务加载它。从而修改注册表破坏文件夹选项的隐藏属性修改，使隐藏的文件无法被显示，并造成安全模式被破坏。它还会反复改写注册表，破坏安全模式和杀毒软件和主动防御的服务，使很多主动防御软件和实时监控无法再被开启。
    病毒通过修改系统默认加载的DLL 列表项来实现DLL 注入，并在注入后设置全局监视，然后通过远程进程注入来查找窗口标题的关键字，以判断用户是否有使用安全软件。
    找到带有关键字的窗口后，就往目标窗口发送大量的垃圾消息，使其无法处理而进入假死的状态，当目标窗口接受到退出、销毁和WM_ENDSESSION 消息就会异常退出。由于病毒自带的关键词库较为庞大，几乎所有市面上已有的安全软件都会被它解决掉。
    应该说，通过查找窗口标题来关闭杀毒软件的方法没有什么创新，从AV终结者之后，不少病毒都会通过这种方法来对抗杀软。但此病毒内带的安全产品关键字，变得更短，使一些名字相近的进程或窗口也被关闭。
    当所有的安全软件全被缴械后，病毒就开启远程连接，疯狂下载大量其它恶意程序到用户电脑中运行。由于下载量很大，并且这些恶意程序大部分为盗号***，用户的系统资源会迅速占用。电脑变得奇慢无比，最后“一死了之”。
    值得注意的是，此病毒除破坏已有安全软件的防护外，它也具有一套“主动防御机制”。倘若检测到自己的病毒进程被关闭，它就会立即又启动病毒进程，若某些安全工具（比如安全厂商临时开发的专杀）阻止了它启动进程，病毒就立刻切断电源，重启系统！如果你发现自己的电脑中突然出现大量***，并且使用升级后的安全软件也无法正常开机，那很有可能就是中了此毒。

“绝望播种机”（Win32.TrojDownloader.Agent.bl.139378）  威胁级别：★★

    这个下载器给你的系统带来的威胁，在于它会破坏几乎一切可用于查杀它的系统服务和工具，并劫持目前市场上知名度较高的安全软件。它一旦成功潜入用户的系统，就会在系统盘下释放出三个病毒文件，分别是%Program Files%目录下的meex.exe，以及%Program Files%\Common File\System\目录和%Program Files%\Common Files\Microsoft Shared\目录下的“.exe”。请注意，这个“.exe”是没有名称的。
    接下来，病毒首先会抢先查找并劫持用户电脑中已安装的安全软件，在这个过程中，几乎所有你听说过的安全软件都会被“解除武装”。然后，开始疯狂地修改注册表，除将自己写入启动项外，还进行以下动作：
    1、删除注册表安全模式的有关信息，当开机时不能启动安全模式
    2、改变注册表值使隐藏文件不可见，达到病毒体隐藏目的
    3、禁用此计算机上的帮助与支持中心服务
    4、禁用网络地址转换、寻址、名称解析、和***保护服务
    5、禁用监视系统安全设置和配置服务
    6、禁用下载和安装Windows更新服务
    完成这一系列的动作后，对绝大多数用户而言，他们将失去查杀该毒的机会，唯有“重装”可选。而为了扩大自己的传染范围，病毒还在各个驱动器下创建AUTO病毒文件.exe和autorun.inf，只要用户在中毒电脑上使用U盘移动存储设备，病毒就会立即传染上去，随着U盘转移到其它正常电脑上。
    在扫清自己犯罪的全部障碍后，病毒开始干它的本职工作：下载其它***到中毒电脑上运行。因为用户已经失去任何抵抗能力，即便是个很古老的盗号***，也可以顺利盗取到它想要的信息，给用户带来无法想像的损失和麻烦。

“黑冰变种212992”（Win32.BlackIce.zm）  威胁级别：★★

    病毒在进入系统后，会释放出一个名为“blackice.exe”的病毒文件。这是一个***文件，它被隐藏在系统盘的%WINDOWS%system32\路径下，并随后修改注册表启动项，使自己可以随系统自动运行。
    接着，该毒搜索系统中是否安装得有网络游戏的客户端程序，如果发现，便感染它们。被感染后的文件体积会增大，习惯手动查杀病毒的用户，利用PE工具查看可以看到文件被多加了一个叫“blackice”的节，并且入口也在新加的节中，还可以看到一个名称是8005的资源。
    如果用户不小心运行了被感染的程序文件，病毒就能被激活。它会在用户系统的临时目录“Documents and Settings\User\Local Settings\Temp”下释放一个名为“bk_XX.tmp”的***文件和正常文件，然后调用正常文件运行，让用户难以察觉异常。需注意的是，“bk_XX.tmp”中XX为一个不确定的数，会按现有名称递增。

“AUTO病毒15598”（Win32.Troj.AutoRunT.ad.15598）  威胁级别：★

      此病毒进入系统后，在%WINDOWS%\system32\目录下释放出一个隐藏属性的病毒文件Dser.exe ，为防止用户恢复文件显示模式后发现该文件，病毒还将这个文件伪装成“系统”文件，试图迷惑用户。
    接着，它判断系统盘%WINDOWS%\system32\drivers\目录下是否有 klif.sys 这个文件。这个文件其实是杀毒软件卡巴斯基的一部分，如果病毒找到这个文件，就会修改当前系统时间为 1981-01-12 ，令依赖系统时间进行升级和激活的卡巴斯基失效。
    病毒继续运行。它创建线程，查找窗口标题名为“IE 执行保护”、“IE执行保护”、“瑞星卡卡上网安全助手 - IE防漏墙”的窗口。如发现，则向其发送鼠标消息，模拟用户点击鼠标发出的命令，将其关闭。以阻止用户获知系统中的异常。
    在病毒运行的后期，它在后台悄悄连接http:/ /www.8**ao***mm.bj.cn 这个由***种植者指定的地址，下载一批名称为 123.exe 至 128.exe 编号的***文件，给用户的系统安全引来更多无法估计的威胁。
    此外，为扩大传染范围，病毒在电脑的每个磁盘分区下都创建AUTO病毒文件 autorun.inf 和 Dser.exe，只要用户双击磁盘或在中毒电脑上使用U盘等移动存储设备，病毒就会被再次激活，搜寻所有磁盘进行感染。

动物家园计算机安全咨询中心反病毒工程师建议：

   1、从其他网站下载的软件或者文件，打开前一定要注意检查下是否带有病毒。
  
   2、别轻易打开陌生人邮件及邮件附件、连接等。

   3、用户应该及时下载微软公布的最新补丁，来避免病毒利用漏洞袭击用户的电脑。

   4、尽量把系统帐号密码设置强壮点，勿用空密码或者过于简单。

   5、发现异常情况，请立即更新你的反病毒软件进行全盘查杀或者登陆bbs.kingzoo.com(安全咨询中心)咨询