04.25病毒预警：“投机份子下载器”伪装成系统文件、下载木马

　　“网游内存盗号者65536”（Win32.PSWTroj.OnLineGames.65536），这是一个可同时盗取多个网络游戏帐号的盗号木马。它通过修改注册表启动项实现开机自启动，作案目标是《魔兽世界》、《赤壁》和《茶苑游戏大厅》的帐号信息。

　　“投机份子下载器”（Win32.TrojDownloader.agent.d.27648），这是一个典型的木马下载器程序。病毒运行后从网上下载其它木马病毒文件到用户机器上执行，其中的一些文件会被伪装成系统相关文件，试图骗过用户。

　　一、“网游内存盗号者65536”（Win32.PSWTroj.OnLineGames.65536） 威胁级别：★

　　这是一个原理很普通的盗号木马，之所以发出预警是该病毒的传播量有所增高。这个木马会通过建立全局监视的办法，盗取网络游戏《魔兽世界》、《赤壁》和《茶苑游戏大厅》的帐号信息。

　　它通过网页挂马和下载器的帮助进入用户的电脑系统后，在系统盘%WINDOWS%目录下释放出病毒主文件mfchlp32.exe，在%WINDOWS%\system32\目录下释放出用来执行盗号的文件mfchlp32.dll，然后就修改系统注册表，把主文件的相关信息加入其中，实现开机自启动。

　　如果成功开始运行，病毒就枚举系统上的进程，把mfchlp32.dll注入系统桌面explorer.exe 的进程空间，在系统上展开全局监视，搜索《魔兽世界》、《赤壁》和《茶苑游戏大厅》的进程，发现后注入其中，通过内存读取的方式获得用户的帐号密码，然后发送给病毒作者。

　　病毒中含有一个地址http:/ /www.ck***66.com/cy876/lin111.asp?&ie=##，经毒霸反病毒工程师检查，该地址是病毒作者指定的远程服务器，当病毒盗窃成功后，就会悄悄把赃物发送过去。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-pswtroj-onlinegames-65536-50561.html

　　二、“投机份子下载器”（Win32.TrojDownloader.agent.d.27648） 威胁级别：★

　　这个病毒是一个下载器，它的原理也很简单。但毒霸反病毒工程师发现，在最近出现的一些具有对抗杀软能力的下载器下载名单中，这个下载器频频出现，看来下载器们也已开始采取互相合作。

　　该病毒在进入用户系统后，把自身复制到系统盘%WINDOWS%\system32\目录下，改名为liveupdate.exe。并复制系统中的文件URLMON.DLL，将它改名为lo.dll，也放到%WINDOWS%\system32\目录下。这个urlmon.dll是WINDOWS系统中关于对象链接和嵌入的模块，病毒会利用它来实现自己的一些动作。

　　接着，病毒会试图在注册表中添加自启动项，但是由于自身有错误，它并不能成功随系统启动。按照病毒作者原先的想法，当它成功运行起来后，就会从指定的地址http://www.lai****.com.cn/img/下载其它木马病毒并运行，病毒作者安排好的文件多达22个，名称为svrhost.exe，kavpro.exe，xia01.exe-xia20.exe，如果下载成功，它们会被藏在%WINDOWS%\system32\目录下。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-agent-d-27648-50562.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月25的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。