栏目导航: 首页 > 漏洞预警 > 病毒预警 > 内容

华军病毒播报:小心超级AV终结者

www.hx99.net    时间: 2008-12-04    阅读: 次     整理: 华西安全网
文章来源: http://www.803389.com/html/Virus/3346/

  华军资讯提醒您:最近出现几种新的电脑病毒,危害网民,值得大家高度重视,华军总结了几家病毒软件发布的最新病毒播报,希望大家加强防范,注意安全:

 

  金山:

 

  一、“超级AV终结者”(Win32.TrojDownloader.NsPassT.bm.50688)威胁级别:★★★

 

  进入2008年的最后一个月,病毒作者的活动越发猖獗。昨日,金山毒霸反病毒工程师捕获一款高危病毒下载器Win32.TrojDownloader.NsPassT.bm.50688。该下载器结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点,行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播,对抗安全软件,下载大量的木马。由于带有穿透功能,对网吧和局域网用户影响很大。

 

  此病毒非常狡猾,它在进入系统后,不会立即运行,而是查找系统中是否存在OllyICE.exe、OllyDbg.exe、ImportREC.exe、C32Asm.exe、LordPE.exe、PEditor.exe等反病毒工作人员经常使用的工具,如果存在,就会立刻关闭自己、退出运行。很明显,它想刻意逃避反病毒工程师的分析。

 

  而该毒的危害性主要体现在它强大的对抗能力。由于同时综合了AV终结者、机器狗、扫荡波的特点,从未有任何病毒的对抗能力像此毒一样凶猛。它在进入系统后,首先会恢复系统SSDT表,一旦SSDT表被恢复,就意味着该毒可以穿透任何一款系统还原软件的防线。

 

  同时,它按照自带的一份“黑名单”搜索安全软件,只要发现用户安装得有安全软件,就调将其关闭。毒霸反病毒工程师检查它的“黑名单”后发现,这份名单非常庞大,几乎所有网上能搜索到的安全软件,都是该毒的关闭目标。

 

  事情还没完,如果仅仅是关闭,那么用户还可以重新启动这些安全软件。病毒作者当然不会允许这种事情发生,他给病毒设置了映像劫持功能,劫持这些安全软件的进程。如果用户试图启动它们,唯一的结果就是把病毒再激活一次而已。而为阻止用户向安全软件厂商求助,病毒会屏蔽许多安全软件的官网。

 

  当解决了“碍事”的安全软件,病毒才放心大胆的读取用户MAC地址,并解密自己的配置文件,获取下载列表,下载大量的盗号木马到用户电脑中运行——这才是它的最终目的。

 

  该毒在成功占领一台电脑后,就开始对局域网内的其它电脑实施攻击。它搜索局域网中所有存在MS08067漏洞的电脑,利用漏洞将自己发送到这些电脑上。同时,对所有的电脑展开ARP攻击,劫持用户所浏览网页上的链接,如果用户点击链接,就会被引导到病毒作者安排好的广告网址,或者下载包括该毒在内的一些恶意程序。为确保攻击成功,该毒还会释放出一个扫荡波病毒,协助自己进行攻击。

 

  必须提及的是,该毒的ARP攻击频率达到令人惊讶的地步,在毒霸反病毒工程师的测试中,该毒对局域网的ARP攻击竟然高达每分钟1万次以上,在三分钟不到的时间里,就能阻塞由数百台电脑组成的局域网。当攻击达到最高峰时,电脑甚至连病毒作者自己指定的网址也无法访问,这种现象可谓是疯狂至极。

 

  仅仅在局域网中传播,病毒作者并不满足。为实现更大范围的传播,该毒在执行上述破坏过程时,还会遍历驱动器,在非a:和b:的磁盘分区的根目录下创建AUTO文件autorun.inf和system.dll。一旦用户在中毒电脑上使用U盘等移动存储设备,病毒就会自动将其传染。当在U盘插入另一台电脑时,它又会将该电脑传染,这样就实现了自动传播。

 

  综合目前对该毒的分析,以及实际的染毒测试来看,该毒无疑毒霸反病毒工程师今年目前为止所发现最凶猛的病毒之一。

 

  根据毒霸反病毒工程师的监测,目前该毒仍在进化中,病毒作者似乎对参考学习其它对抗型病毒的“功夫”很感兴趣,几乎每个变种都会加入新的对抗手段。病毒更新的频率也比较高,每天都会有更新,这也就造成了传统的查杀办法难以应对该毒威胁。

 

  毒霸已经可以查杀此病毒,升级病毒库到最新版本并开启实时监控就可以防御,网吧和企业等局域网用户需要下载ARP防火墙,以防止其他机器的攻击。

 

  如果您已安装其它厂商的杀毒软件,不便卸载。那么,针对该毒的高危特性和频繁更新,毒霸反病毒工程师推荐使用免费的金山系统急救箱对系统进行清理,然后用毒霸和金山清理专家彻底清除被该毒下载到电脑中的木马,并修复系统受到的破坏。

 

  “金山系统急救箱”下载地址http://bbs.duba.net/thread-21988813-1-1.html

 

  金山ARP防火墙下载地址:http://buy.duba.net/download/index.shtml#fhq

 

  关于该病毒的详细分析报告,可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-trojdownloader-nspasst-bm-50688-52647.html

 

  二、“木马控制器57344”(Win32.Troj.Ghosty.a.57344)威胁级别:★

 

  该毒行为简单,对系统不具备直接的破坏能力,但会开启敏感端口,建立后门。黑客借助其帮助,可对用户电脑执行任何想要的控制。

 

  该毒在进入系统后,释放出子文件avgupdt.exe和lsass.exe到%WINDOWS%SYSTEM322054913864目录下,此目录是随机命名,反而容易被用户发现。

 

  当修改注册表启动项、实现开机自启动后,病毒就会运行起来,连接病毒作者指定的黑客服务器,等待黑客指令。

 

  关于该病毒的详细分析报告,可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-troj-ghosty-57344-52643.html

 

  金山反病毒工程师建议

 

  1.最好安装专业的杀毒软件进行全面监控,防范日益增多的病毒。用户在安装反病毒软件之后,应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报,这样才能真正保障计算机的安全。

 

  2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加,所以各类盗号木马必将随之增多,建议用户一定要养成良好的网络使用习惯,如不要登录不良网站、不要进行非法下载等,切断病毒传播的途径,不给病毒以可乘之机。

 

  金山毒霸反病毒应急中心及时进行了病毒库更新,升级毒霸到2008年12月3日的病毒库即可查杀以上病毒;如未安装金山毒霸,可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816,反病毒专家将为您提供帮助。

 

  点击下载金山软件http://www.newhua.com/soft/17120.htm

 

  瑞星:

 

  “IRC波特变种WXZ(Backdoor.Win32.IRCbot. wxz)”病毒:警惕程度★★★,后门病毒,通过网络传播,依赖系统:Windows NT/2000/XP/2003。

 

  该病毒运行后复制自身到驱动程序目录下,文件名为wmiadapi.exe,并在注册表中添加名为“AutoDiscovery/AutoPurge (ADAP) Service”的项目,实现开机自动运行。病毒还会在中毒电脑上开设后门,自动连接cftp.dawn****.info接受远程指令,黑客可以利用IRC软件对染毒的计算机进行远程控制,进行多种危险操作。同时,该病毒还会自动修改系统文件,使系统一些正常的网络功能遭到破坏。

 

  “U盘蠕虫下载器变种EZT(Worm.Win32.Autorun.ezt)”病毒:警惕程度★★★,蠕虫病毒,通过U盘等可移动存储设备传播,依赖系统:Windows NT/2000/XP/2003。

 

  这是一个蠕虫病毒。毒运行后会在目录system生成自身命名为svchost.exe和释放文件名为winlogon.exe的文件, 然后启动这两个程序的进程,该病毒使用双进程守护的功能,如果其中的一个进程被结束,那么另外一个进程就会执行关机命令,以躲避查杀。病毒会在每隔一段时间就在盘符里面写入文件svchost.exe和autorun.inf,达到双击盘符就运行病毒和使用移动硬盘传播病毒的目的。修改注册表键值,以达到开机自动启动的目的,最后会下载大量木马病毒到用户电脑执行,给用户电脑带来巨大的安全隐患。

 

  反病毒专家建议电脑用户采取以下措施预防该病毒:1、安装正版杀毒软件、个人防火墙和卡卡上网安全助手,并及时升级,瑞星杀毒软件每天至少升级三次;2、使用“瑞星系统安全漏洞扫描”,打好补丁,弥补系统漏洞;3、不浏览不良网站,不随意下载安装可疑插件;4、不接收QQ、MSN、Email等传来的可疑文件;5、上网时打开杀毒软件实时监控功能;6、把网银、网游、QQ等重要软件加入到“瑞星帐号保险柜”中,可以有效保护密码安全;7、登陆http://tool.ikaka.com下载并安装免费的瑞星卡卡6.0,打开防护中心开启全部防护,防止病毒通过IE漏洞等侵入计算机。

 

  点击下载瑞星软件http://www.onlinedown.net/soft/25329.htm

 

  江民:

 

  英文名称:Trojan/Runner.b

 

  中文名称:“逃亡犯”变种b

 

  病毒长度:2560字节

 

  病毒类型:木马

 

  危险级别:★

 

  影响平台:Win 9X/ME/NT/2000/XP/2003

 

  Trojan/Runner.b“逃亡犯”变种b是“逃亡犯”木马家族中的最新成员之一,采用“Microsoft Visual C++ 6.0”编写,并且经过加壳保护处理。“逃亡犯”变种b运行后,会在被感染计算机系统的“%SystemRoot%”、“%SystemRoot%system32drivers”目录下分别释放病毒文件“jiocs.dll”和“winsawids.sys”,并在被感染计算机的后台遍历当前系统中运行的所有进程,如果发现某些指定的安全软件存在,“逃亡犯”变种b便会尝试强行将其关闭,以达到自我保护的目的。在被感染计算机系统的后台连接骇客指定的URL“http://www.***yt.net/ko.txt”,获取“恶意程序下载地址列表”,然后下载指定的恶意程序并自动运行。其中,所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序(流氓软件)等,使用户的信息安全面临着不同程度的威胁。另外,“逃亡犯”变种b会修改注册表,实现开机自启动。

 

  英文名称:Trojan/PSW.Lmir.dfo

 

  中文名称:“传奇窃贼”变种dfo

 

  病毒长度:50688字节

 

  病毒类型:木马

 

  危险级别:★

 

  影响平台:Win 9X/ME/NT/2000/XP/2003

 

  Trojan/PSW.Lmir.dfo“传奇窃贼”变种dfo是“传奇窃贼”木马家族中的最新成员之一,采用Delphi语言编写。“传奇窃贼”变种dfo是一个由其它恶意程序释放出来的DLL病毒文件,会被插入到“explorer.exe”等系统进程中加载运行,一方面提高了病毒的隐蔽性,另一方面增强了病毒的生存几率。“传奇窃贼”变种dfo是一个专门盗取“热血传奇”网络游戏会员账号的木马程序,会在被感染计算机系统的后台利用HOOK和封包截取等技术盗取网络游戏玩家的游戏账号、游戏密码、所在区服、角色等级、金钱数量、仓库密码等信息,并且会将所窃取到的信息资料秘密发送到骇客指定的远程服务器上,致使网络游戏玩家的游戏账号、装备、物品、金钱等丢失,给游戏玩家造成不同程度的损失。另外,“传奇窃贼”变种dfo通过在注册表中添加启动项来实现开机后的自动运行。

 

  点击下载江民软件http://www.onlinedown.net/soft/42675.htm

 

  卡巴斯基:

 

  关注病毒:

 

  病毒名称:Trojan-Dropper.Win32.Delf.uu(多功能木马构造器)

 

  ·文件大小:325751字节

 

  ·病毒类型:木马

 

   危害等级:★★★★★

 

   影响的平台:WIN9X/ME/NT/2000/XP/2003

 

   病毒表现(X代表任意数字与字母的组合):

 

   此病毒采用upack壳保护自己,一旦被此病毒感染,它将在后台运行IE进程,监听远程服务器的指令,将自己嵌入到桌面进程中,使其难以被删除。同时它还会到指定的服务器下载病毒文件到计算机中,这些文件可能是盗号木马,间谍软件或者其它的广告软件等等,这些病毒将会给用户带来难以估量的损失。卡巴斯基现在已经完全可以查杀此病毒,建议您尽快安装卡巴斯基并将病毒库升级到最新,以便可以预防被感染造成不必要的损失。

 

  专家预防建议:

 

  1.建立良好的安全习惯,不打开可疑邮件和可疑网站。

 

  2.不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。

 

  3.使用移动介质时最好使用鼠标右键打开使用,必要时先要进行扫描。

 

  4.现在有很多利用系统漏洞传播的病毒,所以给系统打全补丁也很关键。

 

  5.安装专业的防毒软件升级到最新版本,并开启实时监控功能。

 

  6.为本机管理员帐号设置较为复杂的密码,预防病毒通过密码猜测进行传播,最好是数字与字母组合的密码。

 

  7.不要从不可靠的渠道下载软件,因为这些软件很可能是带有病毒的。

 

  点击下载卡巴斯基软件 http://www.newhua.com/soft/18353.htm

 
本文来源:华西安全网[http://www.hx99.net]
发表评论】【告诉QQ好友】【错误报告】【加入收藏】【关闭