01月15日病毒木马预警
瑞星、金山、江民联合发布

江民1月15日病毒播报：谨防QQ游贼后台窃取QQ帐号密码以及IP地址信息

江民今日提醒您注意：在今天的病毒中Trojan/PSW.QQGame.ek“QQ游贼”变种ek和Trojan/PS 
W.GamePass.adtr“网游大盗”变种adtr值得关注。

病毒名称：Trojan/PSW.QQGame.ek

中 文 名：“QQ游贼”变种ek

病毒长度：65442字节

病毒类型：木马

危险级别：★★

影响平台：Win 9X/ME/NT/2000/XP/2003

Trojan/PSW.QQGame.ek“QQ游贼”变种ek是“QQ游贼”木马家族的最新成员之一，采用Delphi语言编写。“QQ游贼”变种ek运行后，自我注入到被感染计算机系统的“explorer.exe”进程中加载运行，隐藏自我，防止被查杀。修改注册表，实现木马开机自动运行。窃取被感染计算机上用户的QQ帐号、QQ密码、IP地址等信息，并在后台将窃取到的信息发送到骇客指定的远程服务器站点上或邮箱里。另外，“QQ游贼”变种ek会在被感染计算机系统的后台连接骇客指定站点，下载其它恶意程序并在被感染计算机上自动调用运行，给用户带来不同程度的损失。

病毒名称：Trojan/PSW.GamePass.adtr

中 文 名：“网游大盗”变种adtr

病毒长度：59392字节

病毒类型：木马

危险级别：★★

影响平台：Win 9X/ME/NT/2000/XP/2003

Trojan/PSW.GamePass.adtr“网游大盗”变种adtr是“网游大盗”木马家族的最新成员之一，采用Delphi语言编写，并经过加壳处理。“网游大盗”变种adtr运行后，自我注入到被感染计算机系统的“explorer.exe”进程中加载运行，隐藏自身进程，防止被查杀。修改注册表，实现木马开机自动运行。在后台秘密监视用户打开的窗口标题，专门窃取Yahoo Messenger聊天工具用户的帐号、密码等机密信息，并在被感染计算机后台将窃取到的信息发送到骇客指定的远程服务器站点上，给用户带来一定程度的损失。

金山毒霸每日病毒预警

“窃听木马184320”（Win32.Troj.Agent.184320），这是一个黑客木马。该木马会修注册表，添加自己的监视程序。系统启动时，它着随Exlporer.exe启动，然后利用监视程序拦截用户访问网络时输入的敏感数据。

“QQ盗号木马120312”（Win32.PSWTroj.QQShou.dt.120312），该病毒是针对QQ即时聊天工具的一个盗号木马。该病毒通过读取内存盗取用户的账号信息，并连同被盗QQ号的QQ等级、Q币等信息一起发给木马种植者。

一、“窃听木马184320”（Win32.Troj.Agent.184320）  威胁级别：★★

病毒进入用户电脑系统后，在%WINDOWS%system32目录下释放出病毒文件ro.dll，然后修改注册表，将自己的相关数据写入其中，实现开机自启动之目的。

一旦成功地随系统运行起来，病毒就会展开全局监视程序，过滤用户上网时输入的敏感数据，比如看上去很像帐号、密码、机密资料等内容的数据。然后在用户无法知晓的情况下建立远程连接，将这些偷来的敏感数据发送给收集者。

病毒作者为了保证偷来的数据能传到自己的手中，设定了近20个的远程服务器地址，资深用户如果使用工具查看，会被长长的地址栏所震惊。

二、“QQ盗号木马120312”（Win32.PSWTroj.QQShou.dt.120312）  威胁级别：★

病毒进入系统后，在系统盘的%Program Files%Internet ExplorerConnection Wizard目录下释放出病毒文件isignup.dll和isignup.sys ，然后修改注册表，把自己的相关信息写入启动项，实现随系统启动而运行起来之目的。

病毒运行后把之前生成的isignup.sys病毒文件注入到非系统进程当中，搜索QQ即时聊天软件的进程，发现后注入其中，通过读取内存盗取用户的账号信息。

如果顺利得手，病毒就悄悄建立远程连接，将用户QQ的Q币金额，等级相关的信息连同账号密码一并发送到木马种植者的邮箱中。

当运行完成后，病毒文件就生成一个 _xiaren.bat文件，删除自己的原始文件，使用户无法找到病毒源。

金山反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年1月14的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录[url]http://www.duba.net[/url]免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。

瑞星01月15日反病毒及木马播报

据瑞星全球反病毒监测网介绍，今日有一个病毒特别值得注意，它是：“黑冰蠕虫（Worm.Win32.BlackIce.a）”病毒。该病毒通过恶意网站传播，从黑客指定网站下载病毒并用自身编写的宏病毒代码感染doc,xls的文件，给用户造成损害并以传播。

本日热门病毒：

“黑冰蠕虫（Worm.Win32.BlackIce.a）”病毒：警惕程度★★★，通过恶意网站传播，蠕虫病毒，依赖系统：Windows XP/NT/2000/2003。

这是一个蠕虫病毒。该病毒运行后会创建一个名为"blackicemutex"的互斥量来判断当前操作系统版本以保证它在NT平台运行。同时复制文件到系统目录下保存名为blackice.exe,kernel.dll并设置文件属性为"只读，隐藏，系统"。然后在windows.ini文件中写入自启动项以实现自启，还同时从黑客指定网站下载病毒。此外该病毒还创建宏病毒代码并用BASE64加密，之后遍历硬盘中的后缀名为doc,xls的文件，并用该宏病毒代码感染文件。而且创建一个名为"watchusb"的窗口，随时监视可移动设备以伺机传播。

反病毒专家建议电脑用户采取以下措施预防该病毒：1、安装正版杀毒软件、个人防火墙和卡卡上网安全助手,并及时升级，瑞星杀毒软件每天至少升级三次；2、使用“瑞星系统安全漏洞扫描”，打好补丁，弥补系统漏洞；3、不浏览不良网站，不随意下载安装可疑插件；4、不接收QQ、MSN、Emial等传来的可疑文件；5、上网时打开杀毒软件实时监控功能；

12月17日 计算机病毒及木马播报
本日热门病毒：

“撕扯Rootkit变种AE（Rootkit.Torn.ae）”病毒：警惕程度★★★☆，Rootkits程序，通过网络传播，依赖系统：WIN 9X/NT/2000/XP。

    这是一个Rootkits程序，它会通过钩挂系统API函数来对病毒进行保护。该Rootkits运行后会钩挂系统API函数来隐藏病毒文件。同时还会保护内存中的病毒进程及其线程不被打开。

    由于该Rootkits通过钩挂系统API对病毒文件及内存中的进程等进行隐藏，因此用户和杀毒软件都无法发现并清除它们。

春节期间，预计木马等病毒活动会更加频繁，国家计算机病毒应急处理中心的专家提醒广大用户小心谨防。

专家说，节日期间在互联网络上会出现大量以“元旦快乐”等信息为主题的电子邮件或者聊天信息。这些电子邮件的附件或者是聊天内容很有可能带有病毒，很多病毒都会利用这一时机进行传播。

上海计算机病毒防范服务中心也预警指出，一种名为“木马下载器20480”的病毒元旦期间将在网上现身。这种病毒会自动下载大量盗号程序，给用户的系统安全和财产带来威胁。

与此同时，随着节日临近，包括网络“钓鱼”网站、电子邮件诈骗等方式的网络诈骗花样又开始变得猖獗。

此外，国家计算机病毒应急处理中心30日预报，一种名为“求职信”(WormKlez.E)的电子邮件蠕虫病毒将于2008年1月6日发作。该蠕虫感染计算机系统后，会利用邮件系统自动向外发送带毒邮件，同时会感染计算机系统中的所有Word文档和Excel文档，而且遭受感染的文档和数据都将无法恢复。蠕虫还会终止受感染计算机系统中防病毒软件的运行，并将其从系统中删除掉。

反病毒专家提醒，节日期间广大计算机用户不可以轻视病毒防护的每一个环节，包括防病毒软件、防火墙、计算机系统安全漏洞补丁程序等这些的及时下载升级，特别是元旦节期间可能会出现大量邮件病毒，建议一定要将杀毒软件中针对邮件的监控功能打开，以减少病毒感染的可能性。

12月15日病毒木马预警
警戒干扰者139776”（Win32.Troj.Agent.139776），这是一个会修改IE浏览器安全设置的木马。它进入系统后 
，会在后台启动IE浏览器进程，并修改IE浏览器的安全设置，使其它病毒及恶意程序能够轻松地进入用户系统，进行破坏活动。

“刷屏下载器65536”（Win32.TrojDownloader.Small.65536），这是一个下载器，该病毒源文件会伪装成MSN的外观，容易迷惑用户，当用户运行该病毒后，病毒源文件会自删除，使用户无法再找回病毒源。病毒运行后会自行下载病毒文件到系统目录下，自添加病毒启动项，随系统的启动而触发。当用户运行文件时，会出现无法打开的状况，有感染的症状。

一、“警戒干扰者139776”（Win32.Troj.Agent.139776）  威胁级别：★★

病毒顺利进入用户的电脑系统后，将三个病毒文件释放到系统盘的%windows%system32目录下，分别为CesMain.exe、CesMain.dll，以及CesMain2.dll。

三个病毒文件均有分工，其中的CesMain.exe是病毒主程序，它的任务是在用户无法察觉的情况下，于后台服务中悄悄启动IE浏览器进程，而两个DLL文件，其中一个负责修改注册表启动项，将病毒主程序的相关信息写入其中，使病毒以后可以在用户每次启动电脑时跟着自动运行起来，另一个则负责注入IE进程，进行破坏活动。

当主程序将IE启动之后，负责破坏活动的DLL文件就会注入IE进程中，修改IE的安全配置数据，将其安全等级降低。这样一来，当用户上网时，其它病毒和恶意程序就很容易进入用户电脑，给系统造成无法估计的破坏。

二、“刷屏下载器65536”（Win32.TrojDownloader.Small.65536）  威胁级别：★★

病毒进入电脑系统后，在系统盘的%windows%system32目录下释放出病毒主程序msnmsgr.exe，以及在%windows%Downloaded Program Files目录下释放出病毒文件msgr.dll。由于其名称与外观都与微软MSN通讯软件接近，用户就不易发现它。

然后，病毒修改注册表，添加自己的主程序信息到启动项。这样，当用户在重启机器时，它就会随着系统的启动而触发。当病毒运行起来后，它会破坏系统中已安装的安全软件的相关数据，以及篡改大量的系统参数，如果用户试图查看启动项和使用安全软件时，系统就会突然死机，然后自动刷屏一次。而当病毒的犯罪最为猖獗之时，不仅仅是安全软件，所有的可执行文件、网页文件都会遇到以上麻烦，令用户无法正常工作。

该病毒的行为不仅仅是影响用户使用电脑，如果用户注意查看系统盘临时文件夹的目录，就会发现已有部分病毒文件被下载到其中，名称如gtapi.dll、tt.exe、QQ.exe等。原来，病毒之前的破坏行为，都是为它能下载其它病毒到用户系统中所做的铺垫。当这些病毒文件发作之后，用户将遭受无法估计的更大损失。

反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。



在今天的病毒中Trojan/PSW.Almat.djm“阿麦特”变种djm和Trojan/PSW.LMir.gvx“传奇窃贼”变种gvx值得关注。

病毒名称：Trojan/PSW.Almat.djm

中 文 名：“阿麦特”变种djm

病毒长度：10896字节

病毒类型：木马

危害等级：★

影响平台：Win 9X/ME/NT/2000/XP/2003

Trojan/PSW.Almat.djm“阿麦特”变种djm是“阿麦特”木马家族的最新成员之一，采用VC++ 6.0编写，并经过加壳处理。“阿麦特”变种djm运行后，自我复制到被感染计算机系统的指定目录下。自我注册为系统服务，实现木马开机自动运行。在被感染计算机系统的后台秘密运行，穿过YX6网关，在后台监视玩家登陆网络游戏“传奇”后的操作，导致网络游戏中的禁言功能失效，骇客可利用被感染计算机上的“传奇”游戏发送恶意广告，干扰玩家玩游戏，给玩家带来不同程度的损失。另外，“阿麦特”变种djm会在被感染计算机系统的后台连接骇客指定站点，侦听骇客指令并在被感染计算机上执行恶意操作。

病毒名称：Trojan/PSW.LMir.gvx

中 文 名：“传奇窃贼”变种gvx

病毒长度：19968字节

病毒类型：木马

危害等级：★

影响平台：Win 9X/ME/NT/2000/XP/2003

Trojan/PSW.LMir.gvx“传奇窃贼”变种gvx是“传奇窃贼”木马家族的最新成员之一，采用Delphi语言编写。“传奇窃贼”变种gvx运行后，在后台秘密监视用户打开的窗口标题，盗取网络游戏玩家的游戏帐号、游戏密码、仓库密码、角色等级等信息，并在后台将玩家信息发送到骇客指定的远程服务器上，致使玩家的游戏帐号、装备物品、金钱等丢失，给游戏玩家带来非常大的损失。修改注册表，实现木马开机自动运行。另外，“传奇窃贼”变种gvx还具有躲避某些安全软件和防火墙监控的功能，降低被感染计算机上的安全性。


据瑞星全球反病毒监测网介绍，今日有一个病毒特别值得注意，它是：“下载者蠕虫变种N（Worm.Win32.DownLoader.n）”病毒。该病毒通过U盘传播，可以从黑客指定的网站上下载新的病毒，并且试图卸载多种杀毒软件。

本日热门病毒：

“下载者蠕虫变种N（Worm.Win32.DownLoader.n）”病毒：警惕程度★★★，通过U盘传播，蠕虫病毒，依赖系统：WINNT/2000/XP/2003。

这是一个蠕虫病毒。病毒运行后会在系统目录中建立文件名为：svchost.exe的病毒文件。病毒试图关闭多种杀毒软件，甚至可以修改注册表使系统自动卸载杀毒软件。病毒还可以从黑客指定的网站上下载新的病毒，它向所有磁盘根目录下复制自身，并以此传播。

反病毒专家建议电脑用户采取以下措施预防该病毒：1、建立良好的安全习惯，不打开可疑邮件和可疑网站；2、很多病毒利用漏洞传播，一定要及时给系统打补丁；3、安装专业的防毒软件升级到最新版本，并打开实时监控程序；