病毒预警:“超级AV终结者”能力极强(1)

“超级AV终结者”（Win32.TrojDownloader.NsPassT.bm.50688），这是一个对抗能力极强的下载器。它结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点，行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播，对抗安全软件，下载大量的木马。由于带有穿透功能，对网吧和局域网用户影响很大。

　　“木马控制器57344”（Win32.Troj.Ghosty.a.57344），这是一个远程木马。它会在用户电脑中建立后门，为黑客入侵提供帮助。

　　一、“超级AV终结者”（Win32.TrojDownloader.NsPassT.bm.50688）威胁级别：★★★

　　进入2008年的最后一个月，病毒作者的活动越发猖獗。昨日，金山毒霸反病毒工程师捕获一款高危病毒下载器Win32.TrojDownloader.NsPassT.bm.50688。该下载器结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点，行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播，对抗安全软件，下载大量的木马。由于带有穿透功能，对网吧和局域网用户影响很大。

　　此病毒非常狡猾，它在进入系统后，不会立即运行，而是查找系统中是否存在OllyICE.exe、OllyDbg.exe、ImportREC.exe、C32Asm.exe、LordPE.exe、PEditor.exe等反病毒工作人员经常使用的工具，如果存在，就会立刻关闭自己、退出运行。很明显，它想刻意逃避反病毒工程师的分析。

　　而该毒的危害性主要体现在它强大的对抗能力。由于同时综合了AV终结者、机器狗、扫荡波的特点，从未有任何病毒的对抗能力像此毒一样凶猛。它在进入系统后，首先会恢复系统SSDT表，一旦SSDT表被恢复，就意味着该毒可以穿透任何一款系统还原软件的防线。

　　同时，它按照自带的一份“黑名单”搜索安全软件，只要发现用户安装得有安全软件，就调将其关闭。毒霸反病毒工程师检查它的“黑名单”后发现，这份名单非常庞大，几乎所有网上能搜索到的安全软件，都是该毒的关闭目标。

　　事情还没完，如果仅仅是关闭，那么用户还可以重新启动这些安全软件。病毒作者当然不会允许这种事情发生，他给病毒设置了映像劫持功能，劫持这些安全软件的进程。如果用户试图启动它们，唯一的结果就是把病毒再激活一次而已。而为阻止用户向安全软件厂商求助，病毒会屏蔽许多安全软件的官网。

　　当解决了“碍事”的安全软件，病毒才放心大胆的读取用户MAC地址，并解密自己的配置文件，获取下载列表，下载大量的盗号木马到用户电脑中运行——这才是它的最终目的。