藍屏木馬下載器關閉殺毒軟體搶奪系統控制

【賽迪網-IT技術報道】「藍屏木馬下載器36864」（Win32.TrojDownloader.Winlagons.gi.36864），這是一個木馬下載器程序。該程序會關閉一些常見的殺毒軟體和安全輔助軟體，並修改IE首頁內容，啟動IE從木馬種植者指定網址下載別的木馬。隨著被下載到電腦中的木馬越來越多，系統將無法承受龐大的資源佔用，幾分鐘後，它就可能崩潰。

「網游盜號木馬94315」（Win32.Troj.OnlineGamesT.e.94315），這是一個盜號木馬。它通過創建註冊表啟動項實現開機自啟動，然後創建線程關閉 「卡巴斯基」和 「瑞星」兩款殺毒軟體的相關提示窗口。最後查找並盜取網絡遊戲《大話西遊3》、《破天一劍》、《驚天動地》的賬號信息。

一、「藍屏木馬下載器36864」（Win32.TrojDownloader.Winlagons.gi.36864） 威脅級別：★★

根據昨日毒霸檢測到的病毒發作趨勢資料，我們今天首先需要留意的仍是木馬下載器。此次抽取出的這個下載器與我們之前多次預警過的大多數木馬下載器一樣，也具有對抗安全軟體的能力－－不用說，這已經是木馬下載器目前的一個發展趨勢了。

在進入用戶電腦後，它把自己的病毒文件winlugan.exe釋放到系統盤的%WINDOWS%/system32/目錄下，並將其寫入註冊表啟動項，讓自己能夠在每次電腦開機時都跟著跑起來。

如果能順利運行，病毒就對%WINDOWS%/system32/wbem/Repository/FS/目錄下的INDEX.BTR、MAPPING.VER、MAPPING1.MAP、OBJECTS.DATA、OBJECTS.MAP等文件進行資料刪改，使得自己掌握對系統命令的控制權。同時，它搶先查找並關閉金山毒霸、麥咖啡、東方微點、卡巴斯基等殺毒軟體，以及安全輔助軟體360安全衛士的進程，讓自己的行動更加自由。

完成以上動作後，病毒就在後台建立遠程連接，從http://5y*rscon**a*t.com這個由木馬種植者指定的地址下載包括盜號木馬在內的大量惡意程序到用戶電腦上運行，給用戶造成無法預計的損失。由於下載數量大、並且盜號木馬進入系統後一窩蜂地注入系統進程，將導致電腦系統被嚴重佔用，幾分鐘後藍屏死機。

二、「網游盜號木馬94315」（Win32.Troj.OnlineGamesT.e.94315） 威脅級別：★

由於虛擬財產與真實財產的可互換性，網游賬號一直是木馬製作者眼中的最佳獵物，寫個盜號木馬放出去，那些擁有頂級裝備的網游賬號就會自動送上門來，然後只需把裝備和賬號賣掉，就可以數錢了。正是抱著這種思想，無良程序員們開足了馬力，瘋狂地製作著各種盜號木馬。

毒霸反病毒分析員昨日檢測到的一個傳播趨勢較高盜號木馬，它的目標是《大話西遊3》、《破天一劍》、《驚天動地》等三款網游。進入系統後，它釋放出兩個病毒文件，分別是%WINDOWS%目錄下的DbgHlp32.exe和%WINDOWS%/system32/目錄下的DbgHlp32.dll，並修改註冊表實現自啟動。接著，此病毒會查找並關閉卡巴斯基和瑞星的註冊表監視窗口，切斷殺毒軟體與用戶之間的聯繫－－這是當然，既然要偷你的東西，肯定就不能讓你察覺。

病毒注入系統桌面進程explorer.exe 的空間，建立全局監視，查找《大話西遊3》、《破天一劍》、《驚天動地》的進程，然後利用記憶體讀取的方式盜取它們的賬號信息並發送到木馬種植者指定的多個遠程地址。給用戶造成虛擬財產的損失。

要避免受到盜號木馬的侵害，除每天升級毒霸外，最有效的方法是遵守網游規則，不要隨便下載未經官方認可的外掛插件，這樣可以避免盜號木馬混進電腦。此外，對於那些不良網站，最好也避而遠之，因為很多時候這類網站會掛有大量盜號木馬及其它惡意程序。

金山反病毒工程師建議

1.最好安裝專業的殺毒軟體進行全面監控，防範日益增多的病毒。用戶在安裝反病毒軟體之後，應將一些主要監控經常打開（如郵件監控、記憶體監控等）、經常進行升級、遇到問題要上報，這樣才能真正保障計算機的安全。

2.由於玩網絡遊戲、利用QQ聊天的用戶數量逐漸增加，所以各類盜號木馬必將隨之增多，建議用戶一定要養成良好的網絡使用習慣，及時升級殺毒軟體，開啟防火牆以及實時監控等功能，切斷病毒傳播的途徑，不給病毒以可乘之機。

(