04.13隐形下载器，隐藏病毒文件，下载木马程序

　　“隐形下载器319488”（Win32.VirInstaller.AgentT.319488），这是一个木马下载器程序。该病毒运行后，会立即从网络上下载大量的病毒。为防止用户查杀，该病毒还会隐藏自己的文件。

　　“无公害感染源84701”（Win32.VBT.hl.84701.84701），这是一个感染型病毒。病毒运行后，会寻找磁盘上的所有exe格式文件进行感染，将自己的病毒程序附加在文件的最后一节。不过它并不具备直接破坏系统的能力。

　　一、“隐形下载器319488”（Win32.VirInstaller.AgentT.319488）? 威胁级别：★

　　 相对对抗杀软型的下载器来说，此篇预警播报中的下载器技术含量并不高。它只是单纯的下载其它病毒，而不会直接对系统和安全软件造成破坏。

　　 该病毒进入电脑后，立即在系统盘下释放出三个病毒文件，分别为%WINDOWS%\system\目录下的1sass.exe，%WINDOWS%\system32\目录下的winnet.sys，以及%WINDOWS%目录下，一个采用随机名称的.dll格式文件。其中，winnet.sys用于篡改系统数据，使病毒主文件1sass.exe 变成隐藏模式，防止用户发现系统中出现多余的文件。而.dll文件则是经过伪装的病毒日志。

　　 病毒修改系统注册表，将1sass.exe注册为系统服务，并设置为开机自动运行。当它顺利运行起来，就从病毒作者指定的地址http://nb.5***89.com/下载一份病毒列表list.txt，然后根据列表中的地址去下载更多其它病毒到用户电脑中运行。

　　 经毒霸反病毒工程师分析，这些被下载的病毒，均为盗取网游帐号以及敏感信息的木马，并且其中一些同样具备下载器的功能，也就是说，如果该病毒顺利在用户电脑中发作，将引起无休止的破坏，造成无法估计的破坏。

　　 关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-virinstaller-agentt-319488-50528.html

　　二、“无公害感染源84701”（Win32.VBT.hl.84701.84701）? 威胁级别：★

　　 这个病毒具有很强的感染性，它可以利用网页挂马和感染文件的方式来进行传播，一旦它进入电脑，就会搜寻系统中所有的EXE格式文件，感染它们。不过，这个病毒除了单纯的感染外，并不对系统构成其它威胁。

　　 病毒程序运行后，在系统盘中释放出一个名为VGod.DLL的病毒文件，将它隐藏在%Documents and Settings%\fish\Local Settings\Temp\目录，也就是当前用户的临时目录文件夹中。随后，它篡改注册表，将自己注册为系统服务，实现随机启动。

　　 之后，病毒所要做的就是搜寻EXE格式的可执行文件，把自己的病毒代码附加到文件的最后一节。这样一来，它就能随着文件的传播而扩大自己的传染范围。

　　 尽管经毒霸反病毒工程师们分析，该病毒不会对系统构成破坏，但这种擅自闯入用户电脑的行为也是不能无视的。而且，这类不具备破坏能力的病毒，很有可能出自新的病毒作者之手，可能是他们用于锻炼自己技术的“作业”。因此，依然需要小心。

　　 关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-vbt-hl-84701-84701-50529.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月13的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。