谨防“系统杀手”木马病毒

　　一、今日高危病毒简介及中毒现象描述：

　　“系统杀手”变种ps是“系统杀手”木马家族中的最新成员之一，采用高级语言编写，是一个由其它恶意程序释放出来的DLL功能组件，经过加壳保护处理。“系统杀手”变种ps运行时，会在被感染系统的后台遍历当前所有正在运行的进程。一旦发现指定的安全软件存在，便会尝试将其结束。在后台秘密监视所有窗口标题中的文本，一旦发现其中存在与安全相关的字符串(如“监控”、“举报”、“离线升级包”等)便会尝试将该窗口关闭。强行篡改注册表，致使“显示系统隐藏文件”功能失效。关闭甚至删除指定安全软件的服务项目，同时还会利用文件映像劫持功能干扰大量安全软件的正常运行，从而达到了自我保护的目的。“系统杀手”变种ps还会通过键盘模拟的方式，关闭安全工具“IceSword”的窗口，从而为用户通过该工具进行手工查杀病毒制造了困难。“系统杀手”变种ps运行时，会在被感染系统的后台连接骇客指定的远程服务器站点“http://c.wuc*.com/”，获取恶意程序下载列表，下载其中指定的恶意程序并自动调用运行。其中，所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序(流氓软件)等，致使用户面临更多的威胁。

　　“网游窃贼”变种wwf是“网游窃贼”盗号木马家族中的最新成员之一，采用高级语言编写，并且经过加壳保护处理。“网游窃贼”变种wwf会被其它恶意程序复制到“%SystemRoot%\system32\”目录下，重新命名为“updater.exe”。还可能会被复制到“%SystemRoot%\system32\”目录下并替换系统文件“userinit.exe”，以此实现其开机自启。“网游窃贼”变种wwf运行后，会在被感染系统的“%USERPROFILE%\Local Settings\Temp\”目录下释放恶意DLL组件“tmp.tmp”。在被感染系统的后台连接骇客指定的远程服务器站点，下载恶意程序并自动调用运行。其中，所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序(流氓软件)等，会给用户造成不同程度的侵害。该木马还会连接骇客指定的URL“http://www.19*99.com.cn/tongji/count.asp”，以此进行被感染计算机的信息反馈以及感染情况的统计。另外，“网游窃贼”变种wwf还会通过在被感染系统注册表启动项中添加键值“updater”的方式来实现盗号木马的开机自动运行。

　　二、针对以上病毒，比特网安全频道建议广大用户：

　　1、最好安装专业的杀毒软件进行全面监控并及时升级病毒代码库。建议用户将一些主要监控经常打开，如邮件监控、内存监控等，目的是防止目前盛行的病毒、木马、有害程序或代码等攻击用户计算机。

　　2、请勿随意打开邮件中的附件，尤其是来历不明的邮件。企业级用户可在通用的邮件服务器平台开启监控系统，在邮件网关处拦截病毒，确保邮件客户端的安全。

　　3、企业级用户应及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒。另外为保证企业信息安全，应关闭共享目录并为管理员帐户设置强口令，不要将管理员口令设置为空或过于简单的密码。

　　截至记者发稿时止，江民的病毒库已更新，并能查杀上述病毒。感谢江民科技为比特网安全频道提供病毒信息。