04.23病毒预警：“伏特加感染下载器”修改系统时间、下载病毒

　　“QQ幻想盗号木马65697”（Win32.Troj.OnlineGameT.bd.65697），这是一个针对网络游戏《QQ幻想》的盗号木马程序。它利用感染可执行文件来进行传播，通过读取内存的方式盗窃游戏帐号，然后发给木马作者。它还会搜索并关闭杀毒软件卡巴斯基和瑞星。

　　“伏特加感染下载器81920”（Win32.TrojDownloader.Delf.81920），该病毒是一个下载器程序。它会修改系统时间，导致卡巴斯基等依赖系统时间进行激活和升级的杀毒软件失效。然后利用IE浏览器的进程执行病毒下载。该毒利用感染可执行文件的方法进行传播，当用户启动被感染文件时，病毒就会发作，搜寻全部磁盘分区中的可执行文件进行感染。

　　一、“QQ幻想盗号木马65697”（Win32.Troj.OnlineGameT.bd.65697） 威胁级别：★★

　　这是个具备一定对抗杀软能力的网游盗号木马。它在进入系统后，会立即抢先搜索卡巴斯基的警告窗口和瑞星的注册表监控提示窗口，防止卡巴和瑞星向用户报告系统异常。此后，它每隔1毫秒的时间，就重复一次搜索，确保卡巴和瑞星永远都无法向用户发出警告。

　　与此同时，该毒会在系统中释放出两个病毒文件，分别为%WINDOWS%目录下的病毒主文件mfchlp.exe，以及%WINDOWS%\system32\目录下负责盗号的mfchlp.dll。前者会被写入系统注册表，以实现开机自启动，而后者则负责注入系统桌面进程explorer.exe，查找网络游戏《QQ幻想》的进程。

　　Mfchlp.dll会试图通过全局监视程序，注入到所有进程中，通过读取它们的相关函数来找到《QQ幻想》的进程文件qqffo.exe，读写其内存，获取网络游戏账号和密码以及其它私人信息，然后通过网络收信空间发给木马作者，给用户造成虚拟财产的损失。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-onlinegamet-bd-65697-50557.html

　　二、“伏特加感染下载器81920”（Win32.TrojDownloader.Delf.81920） 威胁级别：★★

　　这个盗号木马同样具备一定的对抗杀软能力。它进入系统后会先检测用户电脑里是否有杀毒软件“卡巴斯基”，如果有，便通过修改系统时间为1984年的办法，让依赖系统时间进行激活和升级的卡巴失效。在这个过程中，如果用户电脑中有其它软件也是要依赖系统时间的，那它们也同样会受到影响。

　　接着，病毒在系统盘根目录下释放出病毒文件avp.exe，在%Program Files%目录下释放出下载列表ver.txt，然后开始运行，根据列表中的地址去下载更多其它的病毒文件，以及获取最新的下载列表。此处需注意，这个由病毒释放出的avp.exe文件，与卡巴斯基的执行文件名称一样，具有一定的伪装性，但因为是出现在系统盘根目录下，就可以以此来识别它。

　　除了在本机上进行下载，该病毒还会感染中毒电脑上的全部EXE可执行文件，如果用户将它们拷贝到别的电脑上，病毒就可以实现扩散。当用户启动这些被感染的文件时，病毒就会启动，从病毒作者指定的远程服务器http://fff.t***kl.info/下载最新版本的自己和下载列表，然后循环以上的过程。

　　根据毒霸反病毒工程师的分析，该毒下载的其它病毒中，绝大部分是针对网络游戏以及用户隐私资料的盗号木马，如果该毒能在用户电脑里顺利运行，那么将引发无法估计的更大损失。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-delf-81920-50558.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月23的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。