病毒预警:“超级AV终结者”能力极强(2)

该毒在成功占领一台电脑后，就开始对局域网内的其它电脑实施攻击。它搜索局域网中所有存在MS08067漏洞的电脑，利用漏洞将自己发送到这些电脑上。同时，对所有的电脑展开ARP攻击，劫持用户所浏览网页上的链接，如果用户点击链接，就会被引导到病毒作者安排好的广告网址，或者下载包括该毒在内的一些恶意程序。为确保攻击成功，该毒还会释放出一个扫荡波病毒，协助自己进行攻击。

　　必须提及的是，该毒的ARP攻击频率达到令人惊讶的地步，在毒霸反病毒工程师的测试中，该毒对局域网的ARP攻击竟然高达每分钟1万次以上，在三分钟不到的时间里，就能阻塞由数百台电脑组成的局域网。当攻击达到最高峰时，电脑甚至连病毒作者自己指定的网址也无法访问，这种现象可谓是疯狂至极。

　　仅仅在局域网中传播，病毒作者并不满足。为实现更大范围的传播，该毒在执行上述破坏过程时，还会遍历驱动器，在非a:\和b:\的磁盘分区的根目录下创建AUTO文件autorun.inf和system.dll。一旦用户在中毒电脑上使用U盘等移动存储设备，病毒就会自动将其传染。当在U盘插入另一台电脑时，它又会将该电脑传染，这样就实现了自动传播。

　　综合目前对该毒的分析，以及实际的染毒测试来看，该毒无疑毒霸反病毒工程师今年目前为止所发现最凶猛的病毒之一。

　　根据毒霸反病毒工程师的监测，目前该毒仍在进化中，病毒作者似乎对参考学习其它对抗型病毒的“功夫”很感兴趣，几乎每个变种都会加入新的对抗手段。病毒更新的频率也比较高，每天都会有更新，这也就造成了传统的查杀办法难以应对该毒威胁。

　　毒霸已经可以查杀此病毒，升级病毒库到最新版本并开启实时监控就可以防御，网吧和企业等局域网用户需要下载ARP防火墙，以防止其他机器的攻击。

　　如果您已安装其它厂商的杀毒软件，不便卸载。那么，针对该毒的高危特性和频繁更新，毒霸反病毒工程师推荐使用免费的金山系统急救箱对系统进行清理，然后用毒霸和金山清理专家彻底清除被该毒下载到电脑中的木马，并修复系统受到的破坏。

　　“金山系统急救箱”下载地址http://bbs.duba.net/thread-21988813-1-1.html

　　金山ARP防火墙下载地址：http://buy.duba.net/download/index.shtml#fhq

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-trojdownloader-nspasst-bm-50688-52647.html

　　二、“木马控制器57344”（Win32.Troj.Ghosty.a.57344）威胁级别：★

　　该毒行为简单，对系统不具备直接的破坏能力，但会开启敏感端口，建立后门。黑客借助其帮助，可对用户电脑执行任何想要的控制。

　　该毒在进入系统后，释放出子文件avgupdt.exe和lsass.exe到%WINDOWS%\SYSTEM32\2054913864\目录下，此目录是随机命名，反而容易被用户发现。

　　当修改注册表启动项、实现开机自启动后，病毒就会运行起来，连接病毒作者指定的黑客服务器，等待黑客指令。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-troj-ghosty-57344-52643.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年12月3日的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。