病毒周报(080818至080824)

动物家园计算机安全咨询中心（ [url]www.kingzoo.com[/url] ）反病毒斗士报牵手广州市计算机信息网络安全协会（ [url]www.cinsa.cn[/url] ）发布：

本周重点关注病毒：

“AUTO蠕虫下载器136704”（Win32.Troj.AutoRun.ai.136704）  威胁级别：★★

        此毒作案原理较为复杂，它可以同时对用户系统进行劫持安全软件、删除与它抢地盘的其它病毒、破坏系统安全模式，以及下载木马程序等多项操作。
       病毒进入系统后就释放出自己的多个文件，路径分别为%Program Files%\Common Files\Microsoft Shared\nuwqpgi.exe、%Program Files%\Common Files\System\bmjtyxh.exe、%Program Files%\meex.exe。另外，在所有磁盘分区的根目录下，还会有一个fioyitf.exe文件和AUTO文件。这些exe都是病毒的副本，习惯手动查杀的用户必须将它们全部删除。
       该毒释放完文件后立即开始运行，它搜索系统中是否有卡巴斯基的进程avp.exe，如有，则修改系统时间为2005年11月15日，导致一来系统时间进行激活和升级的卡巴失效，同时，它如果发现其它主流杀软的进程，也会将它们劫持，令它们都瘫痪。
      除劫持安全软件，此毒还会破坏电脑系统的安全模式，试图以此阻止用户进行手动查杀。而要是在用户电脑中发现了其它和自己功能类似的病毒，此毒会将它们删除。由此可见，病毒作者之间的竞争也不小。
       用户遇到这种情况，可能会想到杀毒软件厂商的网站求助，但这是不可能的，此毒会监视IE浏览器，只要发现用户登录和系统安全、反病毒相关的网页，就会强行关闭页面。
      完成以上步骤后，病毒就读取自己文件中携带的远程地址，在后台悄悄连接，下载多分病毒列表，根据其中的地址去下载更多其它病毒木马，引起无法估计的更大破坏和麻烦。

“键盘记录下载器23040”（Win32.Agent.obk）  威胁级别：★★

       此木马采用高级语言编写，它本身是一个键盘记录器，能够记录用户输入的各种数据，并将它们发送到病毒作者指定的邮箱中。该木马有两个病毒文件，分别是EECDE.exe和FCE37.exe，被释放在系统目录中。
       其中，EECDE.exe是病毒主文件，它会被写入注册表启动项，实现开机自启动，记录用户输入的数据并发送到指定邮箱。同时，它将IE浏览器引导到一个诈骗网页sca**er.anvi-sca**er.com，弹出提示说正在扫描病毒，并且检查出病毒，要求用户必须下载指定杀毒软件。如果用户允许，实际上被下载的只会是一堆别的木马。
      至于FCE37.exe，它是另一个木马下载器Win32.TrojDownloader.VB.102400，它会连接病毒作者指定的远程服务器，下载更多病毒木马。

动物家园计算机安全咨询中心反病毒工程师建议：

   1、从其他网站下载的软件或者文件，打开前一定要注意检查下是否带有病毒。
  
   2、别轻易打开陌生人邮件及邮件附件、连接等。

   3、用户应该及时下载微软公布的最新补丁，来避免病毒利用漏洞袭击用户的电脑。

   4、尽量把系统帐号密码设置强壮点，勿用空密码或者过于简单。

   5、发现异常情况，请立即更新你的反病毒软件进行全盘查杀或者登陆bbs.kingzoo.com(安全咨询中心)咨询