27日病毒预报：网游病毒活动频繁 当心木马下载器

【51CTO.com 独家报道】51CTO安全频道今日提醒您注意：在明天的病毒中“网游窃贼”变种nqs、“紫萝卜”变种eav、“长寿下载器43008”、“安全破坏者下载器” 、“Poe机器人”和““魔兽大盗””都值得关注。

一、今日高危病毒简介及中毒现象描述：

◆“网游窃贼”变种nqs是木马家族的最新成员之一，采用VC++ 6.0编写。“网游窃贼”变种nqs运行后，自我插入到被感染计算机系统的所有用户级权限的进程中加载运行，隐藏自我，防止被查杀。修改注册表，实现木马开机自动运行。在后台秘密监视用户打开的窗口标题，专门盗取网络游戏《QQ自由幻想Online》玩家的游戏帐号、游戏密码、仓库密码、角色等级等信息，并在后台将玩家信息发送到骇客指定的远程服务器上，致使《QQ自由幻想Online》玩家的游戏帐号、装备物品、金钱等丢失，给游戏玩家带来不同程度的损失。

◆“紫萝卜”变种eav是“紫萝卜”木马下载器家族的最新成员之一，采用VC++ v7.0-8.0编写，并经过加壳保护处理。“紫萝卜”变种eav运行后，屏幕弹出虚假错误提示信息。提示信息内容为：“Cannot install VideoAccessCodec application.Error 118: Windows components conflict.Try to reinstall operation system and try again.”。用户点击“确定”按钮后程序并没有关闭退出，而是在后台继续运行。在被感染计算机的后台搜集用户系统中的关键信息，根据不同版本的操作系统定时下载不同的恶意程序，大大降低了被感染计算机的安全性。另外，“紫萝卜”变种eav很可能在被感染计算机系统的IE浏览器中安装恶意广告工具条。

◆“长寿下载器43008” 病毒运行成功后，在系统盘中释放出六个病毒文件，分别为%windows%目录下的WSockDRV32.EXE、NVDispDRV.exe、upxdnd.exe、DbgHlp32.exe，以及系统桌面目录下的2.exe、a.exe。同时，病毒将它们的相关数据写入系统注册表启动项，使自己可以在以后每次用户启动电脑时都跟着自动运行起来。

一旦病毒开始运行，它立即从http://*ii.ch**p.net/wm这个由木马种植者指定的地址下载众多的病毒文件，把它们先存放在到IE缓存中，然后再隐藏到系统的各角落里。用户如果注意检查WINDOWS文件夹、SYSTEM32文件夹或是其他关键的文件夹，可发现多出了一些莫名的病毒可执行文件。而这些病毒可执行文件，均有盗号或下载病毒的功能。

如果使用系统清理专家扫描恶意软件，可发现系统中竟然同时运行着多达10项的恶意软件，其中包括有“大话西游”、QQGAME等游戏的盗号木马，还有通过MSN发送的相片病毒。 

被病毒袭击的系统，系统资源会被逐渐占用，运行起来会变得越来越慢，即便用户重启电脑，病毒仍然会连接网络，继续下载行为。进入病毒发作后期，电脑甚至会出现死机的情况。

◆“安全破坏者下载器”病毒进入系统后，会先搜索系统盘的%WINDOWS%\system32\dllcache\目录下是否有自己的病毒文件conime.exe、internat.exe、ctfmon.exe、explorer.exe，只要发现其中任何一个，就立即修改系统注册表，将自己的数据加入启动项，实现开机自启动。如果该目录下没有这些文件，它就先释放全部的病毒文件到该目录下，然后再修改注册表。

当病毒运行起来后，它创建线程，擅自调用Window命令循环查找“Windows文件保护”程序的窗口，并将其隐藏起来，以阻止用户查杀自己。

接着，病毒在后台悄悄连接木马种植者指定的地址http://down.*****.cn/，下载一个病毒列表文本。如果它可以顺利按照列表中的网址，下载其它更多病毒到用户电脑上运行，将给用户系统造成更多难以想像的破坏。

此外，该病毒具有一定的自我更新功能，它在下载病毒列表时，会根据自身版本号判断是否有新版本，如果有新版本的话则下载并运行。

◆“Poe机器人”该病毒运行后，衍生病毒文件到系统目录下并添加注册表随机运行项以达到随系统启动病毒体。此病毒是一个工作在Windows平台下的网络蠕虫与IRC后门结合类程序，病毒加入IRC频道并等待远端用户发送远程命令。该病毒通过网络共享与弱口令传播自身，也可通过LSASS漏洞（MS04-011）传播。

◆“魔兽大盗” 该病毒为一个针对网络游戏（魔兽世界）的盗号程序。该病毒生成器可以以ASP页面或电子邮箱两种方式接收病毒盗取的游戏账号信息。并可自动对生成的病毒文件加壳并增加运行后删除自身功能。

二、针对以上病毒，51CTO安全频道建议广大用户：

1、最好安装专业的杀毒软件进行全面监控并及时升级病毒代码库。建议用户将一些主要监控经常打开，如邮件监控、内存监控等，目的是防止目前盛行的病毒、木马、有害程序或代码等攻击用户计算机。

2、请勿随意打开邮件中的附件，尤其是来历不明的邮件。企业级用户可在通用的邮件服务器平台开启监控系统，在邮件网关处拦截病毒，确保邮件客户端的安全。

3、企业级用户应及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒。另外为保证企业信息安全，应关闭共享目录并为管理员帐户设置强口令，不要将管理员口令设置为空或过于简单的密码。

截至记者发稿时止，江民、金山、安天的病毒库均已更新，并能查杀上述病毒。感谢江民科技、金山毒霸和安天为51CTO安全频道提供病毒信息。

【相关文章】

• 更多病毒日报

• 更多病毒周报