04.21病毒预警：“鼠标窥视器”监视鼠标键盘操作、盗号

　　“鼠标窥视器110145”（Win32.PSWTroj.OnLineGames.xh.110145），这是一个盗号木马风险程序。木马运行后监视用户的鼠标键盘操作，从而获取用户的帐号和密码信息，并发送给木马作者。

　　“间谍下载器180736”（Win32.Troj.InjectT.gh.180736），该病毒为木马下载器。病毒被激活后，将自己注册为浏览器辅助对象(BHO)，实现随系统启动，然后主动连接网络下载大量病毒相关文件。与此同时，该病毒还会记录中毒用户的系统数据，达到收集敏感信息的目的。

　　一、“鼠标窥视器110145”（Win32.PSWTroj.OnLineGames.xh.110145） 威胁级别：★★

　　这个病毒是一个盗号木马，它并没有特定的作案对象，而是对用户输入的所有数据下手。该病毒在进入系统、完成文件释放后，立即修改系统的SSDT(系统服务调度表)，从而解除具有主动防御功能的杀毒软件的武装，然后将病毒文件注入到系统桌面进程中，监视用户的鼠标、键盘操作，从而获得用户的游戏帐号和密码信息。

　　成功获取信息之后，病毒便将信息加密，以邮件的形式，通过SMTP（一种为提高电脑用户的通讯效率而设置的免验证通讯方式），以及网页收信空间的方式发送给木马作者。木马作者一旦获得这些数据，他只需经过简单的计算，便可从中筛选出有价值的信息，从而给用户带来虚拟财产、商业机密的损失，甚至个人隐私的泄露。

　　习惯手动查杀病毒的用户，请注意%WINDOWS%\system32\目录下的tavo.exe和tavo0.dll，以及系统临时目录中的v9kctbg9.dll，它们就是病毒释放出的文件。这三个文件各有分工，必须将它们完全清除才能恢复系统正常。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-pswtroj-onlinegames-xh-110145-50544.html

　　二、“间谍下载器180736”（Win32.Troj.InjectT.gh.180736） 威胁级别：★

　　这个病毒可通过网页挂马来进行传播。它进入系统后，将自己注册为浏览器辅助对象(BHO)，实现自动启动。BHO技术原本用于扩展IE浏览器的第三方插件，为用户提供更多便利，但也正因此，一些病毒作者利用了这点来传播病毒。

　　同时，病毒记录下自己进入系统的时间、系统操作平台、电脑MAC地址等有关用户隐私的敏感信息，将它们发送给病毒作者。并连接病毒作者安排的地址http://loader.*****pv.cn:1207/loader.php，读取病毒下载列表。

　　为防止用户和安全厂商顺藤摸瓜，找到病毒下载服务器，病毒作者对该下载列表进行了加密处理。不过经毒霸反病毒工程师分析，还是破解了该毒的下载列表。分析表明，病毒作者提供下载的是一个经过伪装的网页控件文件，能自动执行一系列网页浏览行为。根据病毒作者的安排，它能让用户电脑自动浏览一些网站，并执行新的下载命令，下载一系列盗号木马，带来无法估计的更大麻烦。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-injectt-gh-180736-50545.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月21的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。