斗破苍穹TXT全集下载暗藏杀机，在线阅读小心中招

 金山安全中心近期发现一类主要伪装成热门电子书“斗破苍穹TXT全集下载”的病毒，喜欢在线阅读的网友很容易中招。病毒会利用若干正常程序来启动，以绕过一些常见安全软件的防御系统。中毒后，电脑桌面图标会恶意篡改，浏览器主页被锁定为某网址导航站，浏览器收藏夹中也将出现病毒推广的垃圾链接。

病毒的主要特性：

1.释放恶意文件（伪装成360浏览器的主程序360se.exe）到D:\360se（病毒启动文件目录），或D:\MyDocument（病毒加载文件目录） 

2.弹出淘宝推荐页面：taobao.51595.com（淘宝导购，快乐赚钱，快乐购物）

3.桌面IE图标出现小箭头指向导航网站www.83863.com；

4.桌面新增淘宝网图标指向taobao.51595.com
收藏夹添加推广链接：34335小游戏大全，每日上去笑一笑，一流美女屋，齐齐看美女，高清晰美女图

5.添加名为阿里旺旺安全组件的启动项目（HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce）
指向正常文件D:\360SE\AliWangWang.exe，并且通过这个正常的应用程序逐步加载病毒程序

6.病毒程序通过复杂的启动链来实现最终破坏：ailwangwang.exe->aliim.exe(这个程序系360start.exe重命名而来)->360se.exe，这样做的目的是逃避部分安全软件的主动防御功能，因很多宣称主动防御的软件会将有数字签名的程序直接放行。金山安全专家指出，用这种办法绕过主动防御的病毒正越来越流行，用户千万不要认为杀毒软件不报警，你的系统就真的高枕无忧了。

7.这个伪装的360se.exe体积达160MB，其中绝大部分填充了大量垃圾代码，其目的是躲过云杀毒软件的自动样本上传策略。


8.推广安装某些互联网软件：皮皮免费高清影视，酷狗音乐2010等

9.删除瑞星、360等安全软件创建的桌面快捷方式


此类病毒的主要传播方式

1 通过小说下载站笔下文字（bxwx.net）欺骗下载。据金山云安全系统统计，相关恶意域名的总拦截量超过3万次。部分用来传播该病毒的域名已经迅速失效。
 

其中流量较大的一个URL为搜索流行网络小说斗破苍穹到笔下文学网，当用户点击第一个下载链接“斗破苍穹TXT全集下载”时会下载病毒文件book.exe 

2.通过色情网站链接捆绑传播。

3.通过部分小软件下载站广告植入传播。


病毒防范策略：

1.浏览危险网站（电子书下载相关的网站、XXOO网站、某些盗版软件下载站）时，应严加防范，最好启用金山毒霸或金山卫士的下载保护功能，及时阻止点击危险链接。
 

2.当你要寻找下载的内容是TXT文件，而实际下载的是EXE或压缩文件时，应小心双击下载目标。最好先使用杀毒软件检查。

 

特别感谢一把锈剑同学提供素材。

 

下载金山毒霸2011