金山2.17病毒播报：网游盗号木马、间谍相机蠕虫

 以下是2008年2月17日的金山毒霸发布的最新的病毒日报

 金山毒霸每日病毒预警
 
 “网游盗号木马11680”（Win32.Troj.OnlineGamesT.bo.11680），这是一个可以盗取多个网络游戏帐号信息的盗号木马。它病运行时会创建线程关闭“卡巴斯基”和“瑞星”的监控提示窗口，然后注入 explorer.exe 进程盗取帐号信息，并以参数的形式发送至木马种植者指定的接收网址。
 “间谍相机蠕虫125893”（Worm.AutoRun.125893），这是蠕虫病毒，它通过发送带有病毒文件的电子邮件和AUTO病毒的方式传播。该病毒运行后会从网上下载病毒，并监视用户的网络通信，盗取用户的敏感资料。

一、“网游盗号木马11680”（Win32.Troj.OnlineGamesT.bo.11680）  威胁级别：★
    病毒进入系统后，在系统盘中释放出两个病毒文件，分别为%WINDOWS%目录下的Kvsc3.exe和%WINDOWS%system32目录下的Kvsc3.dll。随后便修改系统注册表，使自己达到随系统启动而启动之目的。
    接着，病毒迅速展开搜索，查找系统中是否安装得有杀毒软件“卡巴斯基”和“瑞星”，并紧盯它们的报警提示窗口，只要发现卡巴和瑞星试图弹出窗口向用户报告系统异常，就会抢先模拟用户指令将窗口关闭。这样，用户就无法知晓自己电脑受到入侵。
    对付完杀毒软件，病毒就开始搜索当前进程中是否有《破天一剑》、《奇迹世界》、《奇迹世界》、《征服》、《魔域》等网络游戏以及“浩方”对战平台，如有，就强行注入并关闭它们。大家也许会奇怪，把游戏关掉，还怎样盗号呢？其实，木马这样做是为了让用户以为游戏是因为网络问题掉线而重新启动游戏，而这时，它就能通过输入记录的方式，盗走游戏帐号和密码了。
    如顺利得手，病毒就建立远程连接，将盗得的信息按游戏款式发送到木马种植者指定的不同地址，使用户遭受虚拟财产的损失。

二、“间谍相机蠕虫125893”（Worm.AutoRun.125893）  威胁级别：★★
    该蠕虫病毒进入电脑系统后，会将a.jpg、Flower.dll、vista.exe等三个病毒文件释放至系统盘的%WINDOWS%system32目录下，并在全部的磁盘分区中生成AUTO病毒文件test.exe和autorun.inf。只要用户双击鼠标左键进入含毒磁盘，就会激活病毒。而如果在中毒电脑上使用U盘等移动存储设备，病毒也会将其传染，扩大自己的传播范围。
    然后，病毒修改系统注册表，劫持几乎所有目前已发布的杀毒软件和安全辅助软件，造成它们失效，使自己接下来的破坏行为可以顺利进行。并且，只要用户试图运行被劫持的软件，就会再次激活病毒。而失去保护措施的电脑，将极易受到来自外部的非法入侵。
    病毒运行起来后，会在用户机器上增加自己的协议，监视用户机器上的网络数据，并不时不时的对用户机器实行截屏等非法记录动作，从中盗取帐号、密码、商业数据等敏感信息，给用户造成无法估计的损失。而在发作后期，它还会利用中毒电脑对外发送含毒邮件，同时下载更多其它病毒，引发更大的破坏。

 金山反病毒工程师建议
 1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
 2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。
 金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年2月17的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。