病毒周报(100104至100110)

动物家园计算机安全咨询中心（ www.kingzoo.com）反病毒斗士报：

“控制者”（Trojan/Win32.Agent.yep[Dropper]） 威胁级别：★★

    该病毒文件为后门类木马，病毒运行后查找名为DVCLAL内的DLL类型的资源，找到后Load该资源信息，在病毒当前目录下衍生病毒DLL文件并将属性设置为隐藏，Load病毒DLL文件，调用病毒DLL的Install模块，遍历进程查找AVP.EXE找到后加载sfc_os.dll文件去掉对beep文件的修改提示，先将系统的beep.sys文件改名为beep.sys.tep释放beep.sys驱动文件到%drivers%目录下替换现有的文件，改驱动文件恢复SSDT绕过卡巴斯基主动防御，比较自身DLL进程路径是否为%System32%目录下的winnet.dll文件，如不是则将自身拷贝到该目录下命名成winnet.dll，添加注册表服务启动项，开启一个SVCHOST.EXE进程将病毒代码注入到该进程中连接网络进行通信，被控制的计算机会被控制者完全控制，病毒运行完毕后删除自身原文件。

“欺骗者”（Trojan/Win32.StartPage.cjh[Clicker]） 威胁级别：★★

    该恶意代码文件为恶意广告类木马，病毒运行后创建注册表项，弹出消息框（“检测到您的系统设置与播放器有冲突！请点击桌面高清电影开始激情体验”）的提示，调用iexplore.exe弹出一个广告链接网址，遍历C:\Documents and Settings\a\「开始」菜单\程序目录下是否存在*.url、*.lnk文件，如有则删除，创建一个Internet Explorer快捷方式到该目录下修改目标位置为："C:\Program Files\Internet Explorer\IEXPLORE.EXE" http://www.74***.com/?zzp使其打开时自动访问指定的广告页面，创建多个*.url、*.lnk文件快捷方式到桌面，添加多个广告网址到IE浏览器的收藏夹内，修改注册表隐藏桌面Internet Explorer浏览器的右键菜单项，修改360安全浏览器的配置文件，使其网络连接地址指向病毒指定的广告网址，试图创建修改%Documents and Settings%\a\Application Data\文件夹内的火狐浏览器、TT浏览器的配置文件，使主页默认为病毒指定的广告地址，创建多个.ico文件图标到%System32%目录下，使病毒在桌面的.lnk文件显示指定的图标，修改注册表项创建3个.lnk文件到桌面使其无法正常删除。

“广告木马”（Trojan/Win32.Agent.cyaf[Downloader]） 威胁级别：★★

    该病毒为广告弹窗木马，病毒运行后创建互斥量名为"mutex_cpa_.la"，调用函数关闭Intemet连接、共享和防火墙服务，在D盘创建Winup目录，删除%Program Files%目录下的nowlist.dat文件，连接网络读取列表将列表保存到%Program Files%目录下命名为nowlist.dat，扫描nowlist.dat文件开头字串是否为“嘿嘿，这是标头哦”，如果不是则重新连接网络读取，如是将查找到的进程进行判断，看是否是网吧机器，如果是网吧机器则向病毒作者服务器提交数据，如不是网吧机器则将本机的MAC地址提交到病毒作者的服务器，创建注册表项，根据nowlist.dat文件连接网络下载并安装BHO插件，劫持IE浏览器，自动弹出广告，由于病毒作者服务器无法连接所以无法分析其下载的样本数量。

动物家园计算机安全咨询中心反病毒工程师建议：

   1、从其他网站下载的软件或者文件，打开前一定要注意检查下是否带有病毒。

  

   2、别轻易打开陌生人邮件及邮件附件、连接等。

   3、用户应该及时下载微软公布的最新补丁，来避免病毒利用漏洞袭击用户的电脑。

   4、尽量把系统帐号密码设置强壮点，勿用空密码或者过于简单。

   5、发现异常情况，请立即更新你的反病毒软件进行全盘查杀或者登陆bbs.kingzoo.com(安全咨询中心)咨询