遠程控制木馬"屏保偽裝腳本"偽裝欺騙用戶

【賽迪網-IT技術報道】「屏保偽裝腳本934」（VBS.Iframe.np.934），這是一個遠程控制木馬。它是個腳本文件，會偽裝成屏幕保護程序，欺騙用戶放鬆警惕，然後將用戶電腦與黑客的遠程伺服器連接。

「廣告彈射器74240」（Win32.Adware.CDN.74240），這是個廣告木馬程序。它會在用戶系統中生成大量的病毒文件，並強迫用戶的IE瀏覽器登錄廣告頁面。

一、「屏保偽裝腳本934」（VBS.Iframe.np.934） 威脅級別：★

這個遠程木馬能夠將用戶的電腦連接到病毒作者指定的伺服器，使其淪為「肉雞」，接受黑客的控制。它會利用欺騙手段，讓用戶放鬆警惕。

病毒進入電腦後，在系統盤根目錄下釋放出兩個文件，一個是文件名較長的[ vs・63www.ai**u8.net (1f') ].chm，另一個名為12.exe。由於變種的不同，它們的文件名可能會多變，但.chm與.exe都是同時出現的。

接著，它生成大量的配置文件，並運行自己。為蒙蔽用戶，它會稱自己是個屏幕保護程序，描述為「Welcome to the Happy Easter! Screensaver Setup Wizard」，而實際上，該毒已經在後台悄悄連接病毒作者指定的遠程地址，等待黑客控制。

二、「廣告彈射器74240」（Win32.Adware.CDN.74240） 威脅級別：★

此廣告木馬去年就已經出現，最近變種突然增多，金山毒霸能夠完全查殺全部變種，但依然發出預警播報，提醒沒有安裝毒霸的用戶注意。

病毒會在電腦的臨時目錄%WINDOWS%/TEMP/中釋放出大量的病毒文件，如nss8099.tmp、WordSearch.txt、WordSearch.ini、ioSpecial.ini等。其中ioSpecial.ini是配置文件，裡面有病毒稍後會連接的網址信息。

如果文件釋放成功，該毒就修改註冊表啟動項，實現開機自啟動，然後就讀取ioSpecial.ini裡的資料，將IE瀏覽器連接到病毒作者指定的網址，彈出該網址窗口，迫使用戶瀏覽，從而為該網址刷流量。

除了彈出廣告網頁，毒霸反病毒工程師沒發現該毒有其它直接破壞行為，但由於彈窗口的頻率較高，該廣告木馬還是會令用戶十分心煩。

金山反病毒工程師建議

1.最好安裝專業的殺毒軟體進行全面監控，防範日益增多的病毒。用戶在安裝反病毒軟體之後，應將一些主要監控經常打開（如郵件監控、記憶體監控等）、經常進行升級、遇到問題要上報，這樣才能真正保障計算機的安全。

2.由於玩網絡遊戲、利用QQ等即時聊天工具交流的用戶數量逐漸增加，所以各類盜號木馬必將隨之增多，建議用戶一定要養成良好的網絡使用習慣，如不要登錄不良網站、不要進行非法下載等，切斷病毒傳播的途徑，不給病毒以可乘之機。

(