9月4日病毒播报：木马屏蔽搜索网站与杀软

在今天的病毒里，“痞客”变种sh和“牧童”变种cde值得关注。

英文名称：TrojanDropper.Typic.sh

中文名称：“痞客”变种sh

病毒长度：25165字节

病毒类型：木马释放器

危险级别：★

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：026b2528330b80fb37b940d58b39c1b0

特征描述：

TrojanDropper.Typic.sh“痞客”变种sh是“痞客”家族中的最新成员之一，采用“Borland Delphi 6.0 - 7.0”编写。“痞客”变种sh运行时，会在被感染系统的后台连接骇客指定的远程站点“w99.eg*ns.cn/com/”，下载恶意程序“1.exe”并自动调用运行。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，致使用户面临更多的威胁。后台遍历当前系统中运行的所有进程，如果发现“bdagent.exe”、“KVMonXP.kxp”、“kavstart.exe”、“egui.exe”、“avp.exe”、“RavMonD.exe”、“mpmon.exe”、“dwengine.exe”、“ccSvcHst.exe”、“mcagent.exe”、“ashDisp.exe”、“avgtray.exe”、“avesvc.exe”、“sfctlcom.exe”、“apvxdWin.exe”这些进程存在，“痞客”变种sh便会尝试将其强行关闭，从而达到自我保护的目的。利用域名映像劫持功能，在被感染系统的后台强行篡改“hosts”文件，从而将“www.baidu.com”、“baidu.com”、“www.google.cn”、“google.cn”、“www.g.cn”、“g.cn”、“www.google.com”和“google.com”这些域名屏蔽，干扰用户对这些站点进行访问。在完成上述行为后，原病毒程序会将自身删除，以此消除痕迹。

英文名称：TrojanDropper.Mudrop.cde

中文名称：“牧童”变种cde

病毒长度：49152字节

病毒类型：木马释放器

危险级别：★

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：50a6e2563340cd44d480b2cbf2f296ac

特征描述：

TrojanDropper.Mudrop.cde“牧童”变种cde是“牧童”家族中的最新成员之一，采用“Microsoft Visual Basic 5.0 / 6.0”编写，经过加壳保护处理。“牧童”变种cde运行后，会在被感染系统的“%SystemRoot%\\system32\\”文件夹下释放经过加壳保护的恶意DLL组件“f1drc1nr.dll”和恶意程序“TXPlatform.exe”，之后会创建目录“%SystemRoot%\\system32\\2011\\”，并在其中释放恶意程序“smss.exe”。其会在被感染系统的后台连接骇客指定的远程站点“121.11.*.28”，获取恶意程序下载列表，然后下载指定的恶意程序并自动调用运行。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，致使用户面临更多的威胁。另外，其还会在“%USERPROFILE%\\Favorites\\”文件夹下添加垃圾Internet快捷方式，诱导用户对指定站点“hxxp://hao.mei*ngie.com/”进行访问，从而为其增加了访问量，给骇客带来了非法的经济利益。