金山3.17病毒播报:黑冰下载器变种破坏杀软下木马

关键词： 金山毒霸 金山 木马下载器 黑冰下载器 病毒播报 每日病毒播报 病毒日报 木马病毒

　　“木马下载器73728”（Win32.Troj.Delf.se.73728），这是一个木马下载器。它本身对系统安全没有破坏性，但会利用IE浏览器建立远程服务，下载其它木马到用户电脑上运行。

　　“黑冰下载器变种102400”（Worm.VcingT.w.102400），这是一个黑冰木马下载器的变种。它会破坏一些安全工具和杀毒软件的正常运行,并反复写注册表来破坏系统安全模式。病毒还会在每个分区下释放 AUTORUN.INF 来达到自运行。在发作后期，它会下载大量其它木马程序到用户电脑上。

　　一、“木马下载器73728”（Win32.Troj.Delf.se.73728） 威胁级别：★

　　这是一个威胁级别较低的木马下载器，它对系统不具备直接的破坏能力。病毒进入用户的电脑后，在系统盘根目录下释放出病毒文件 temp.exe ，从名称上看，一些对系统不熟悉的用户可能会以为它是系统的临时文件，因此掉以轻心。

　　文件释放完毕后，病毒会立即运行，查找用户正在使用中的IE浏览器窗口，如果查找到则会为该窗口对应的进程创建远线程，利用IE浏览器的进程空间来实现隐蔽的下载

　　经毒霸分析人员的检查，该病毒会从http://w*8.vg/这个由木马种植者指定的地址一个名为 ss.exe 的病毒文件，这个病毒文件其实是另一个下载木马。最终的下载动作其实是由它来完成。一旦ss.exe 成功运行，就会有大量的盗号木马等恶意程序进入到本地机器执行。引发无法预计的系统安全事故。

　　关于该病毒的详细分析报告，在金山病毒大百科中可以查阅：http://vi.duba.net/virus/win32-troj-delf-se-73728-50470.html

　　二、“黑冰下载器变种102400”（Worm.VcingT.w.102400） 威胁级别：★★

　　昨日毒霸的分析师截获一个黑冰病毒的最新变种，这是一个具备对抗安全软件能力的木马下载器。这个病毒一直有着多种名称，有人称其为AV终结者变种，有人认为它是磁碟机或者别的啥下载器，但病毒作者自己将其命名为黑冰。在这个新变种中，他专门新增加了一个“blackice”的节名，强调自己的“与众不同”。

　　病毒进入系统后，在系统盘目录下释放一个 NetApi00.sys 病毒文件，并创建服务加载它。从而修改注册表破坏文件夹选项的隐藏属性修改，使隐藏的文件无法被显示，并造成安全模式被破坏。它还会反复改写注册表，破坏安全模式和杀毒软件和主动防御的服务，使很多主动防御软件和实时监控无法再被开启。

　　病毒通过修改系统默认加载的DLL 列表项来实现DLL 注入，并在注入后设置全局监视，然后通过远程进程注入来查找窗口标题的关键字，以判断用户是否有使用安全软件。

　　找到带有关键字的窗口后，就往目标窗口发送大量的垃圾消息，使其无法处理而进入假死的状态，当目标窗口接受到退出、销毁和WM_ENDSESSION 消息就会异常退出。由于病毒自带的关键词库较为庞大，几乎所有市面上已有的安全软件都会被它解决掉。

　　应该说，通过查找窗口标题来关闭杀毒软件的方法没有什么创新，从AV终结者之后，不少病毒都会通过这种方法来对抗杀软。但此病毒内带的安全产品关键字，变得更短，使一些名字相近的进程或窗口也被关闭。

　　当所有的安全软件全被缴械后，病毒就开启远程连接，疯狂下载大量其它恶意程序到用户电脑中运行。由于下载量很大，并且这些恶意程序大部分为盗号木马，用户的系统资源会迅速占用。电脑变得期满无比，最后“一死了之”。

　　值得注意的是，此病毒除破坏已有安全软件的防护外，它也具有一套“主动防御机制”。倘若检测到自己的病毒进程被关闭，它就会立即又启动病毒进程，若某些安全工具（比如安全厂商临时开发的专杀）阻止了它启动进程，病毒就立刻切断电源，重启系统！如果你发现自己的电脑中突然出现大量木马，并且使用升级后的安全软件也无法正常开机，那很有可能就是中了此毒。

　　关于此病毒的详细分析报告，可在病毒大百科中查阅：http://vi.duba.net/virus/worm-vcingt-w-102400-50471.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年3月17的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。