英文名称：Trojan/Antavmu.ccb

中文名称：“伪程序”变种ccb

病毒长度：36000字节

病毒类型：木马

危险级别：★★

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：faa119313ffd5b2fb66016676433b47e

特征描述：

Trojan/Antavmu.ccb“伪程序”变种ccb是“伪程序”家族中的最新成员之一，采用“Microsoft Visual Basic 5.0 / 6.0”编写，经过加壳保护处理。“伪程序”变种ccb运行后，会在被感染系统执行命令“CommandLine = "cacls.exe C:\WINDOWS\system32\cmd.exe /e /t /g everyone:F”，撤销任意用户对cmd.exe的完全访问权限。关闭下列服务：“sharedaccess”、“KPfwSvc”、“KWatchsvc ”、“McShield”、“Norton AntiVirus Server”。之后会将“C:\Program Files\360safe\safemon\safemon.dll”重命名为“C:\Program Files\360safe\safemon\safemes.dll”，把“C:\Program Files\Rising\AntiSpyware\ieprot.dll”重命名为“C:\Program Files\Rising\AntiSpyware\iepret.dll”。遍历系统当前进程，如发现“shstat.exe”、“runiep.exe”、“ras.exe”、“MPG4C32.exe”、“imsins.exe”、“Iparmor.exe”、“360safe.exe”、“360tray.exe”、“kmailmon.exe”、“kavstart.exe”、“avp.exe”、“SonndMan.exe”、“Vmware.exe”、“exename”、“vpcma.exe”、“cmd.exe”、“cacls.exe”、“notepde.exe”便会尝试结束。还会在被感染系统的“%SystemRoot%\”文件夹下释放恶意文件“BarClientServer.exe”，在“%SystemRoot%\system32\”文件夹下释放“inertno.exe”、“ttjj34.ini”。向Administrators组中添加名为“new1”的用户，密码为“12369”，从而为骇客留下后门。在被感染系统的后台连接骇客指定的站点“www.caif*678.cn:81/rc/xms/”，获取恶意程序下载列表，下载指定的恶意程序并自动调用运行。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序(流氓软件)等，致使用户面临更多的威胁。另外，“伪程序”变种ccb在运行完成后会创建批处理文件“2.bat”并在后台调用执行，以此将自身删除。

英文名称：Backdoor/PcClient.ajlz

中文名称：“友好客户”变种ajlz

病毒长度：38288字节

病毒类型：后门

危险级别：★

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：62e4180a79650fb91421c4eb3c35b06f

特征描述：

Backdoor/PcClient.ajlz“友好客户”变种ajlz是“友好客户”家族中的最新成员之一，采用“Microsoft Visual C++ 6.0”编写，经过加壳保护处理。“友好客户”变种ajlz运行后，会自我复制到被感染系统的“%SystemRoot%\system32\”文件夹下，重新命名为“WinHelp32.exe”。文件属性设置为“系统、隐藏”。“友好客户”变种ajlz属于反向连接后门程序，其会在被感染系统的后台连接骇客指定的站点“www.9*k.com”，获取客户端IP地址，侦听骇客指令，从而达到被骇客远程控制的目的。该后门具有远程监视、控制等功能，可以监视用户的一举一动(如：键盘输入、屏幕显示、光驱操作、文件读写、鼠标操作和摄像头操作等)。还可以窃取、修改或删除计算机中存储的机密信息，从而对用户的个人隐私甚至是商业机密构成严重的威胁。感染“友好客户”变种ajlz的系统还会成为网络僵尸傀儡主机，利用这些傀儡主机骇客可对指定站点发起DDoS攻击、洪水攻击等。该后门会占用大量的系统资源，极大地降低了被感染系统的性能，导致被感染系统出现频繁死机等现象。“友好客户”变种ajlz在运行完成后会将自我删除，从而达到消除痕迹的目的。另外，“友好客户”变种ajlz会在被感染计算机中注册名为“WinHelp32”的系统服务，以此实现自动运行。

英文名称：Packed.PePatch.itg

中文名称：“尖峰洞”变种itg

病毒长度：37680字节

病毒类型：木马

危险级别：★

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：60e4915234d5011c4f91a910ef65c148

特征描述：

Packed.PePatch.itg“尖峰洞”变种itg是“尖峰洞”家族中的最新成员之一，采用高级语言编写，经过加壳保护处理。“尖峰洞”变种itg运行后，会在被感染系统的“%SystemRoot%\system32\”文件夹下释放经过加壳保护的恶意DLL组件“lqcyc52.cyc”，然后把“lqcyc52.cyc”复制到“%USERPROFILE%\Local Settings\Temp\”文件夹下，重新命名为“setupapi.dll”。将可能存在的“\safemon\360tray.exe”复制到“%USERPROFILE%\Local Settings\Temp\”文件夹下，还会在被感染系统的“%SystemRoot%\system32\”文件夹下释放恶意文件“systemdebug.exe”。在被感染计算机的后台遍历当前系统中运行的所有进程，如果发现某些指定的安全软件存在，“尖峰洞”变种itg便会尝试将其强行关闭，从而达到自我保护的目的。“尖峰洞”变种itg运行时，会在被感染系统的后台连接骇客指定的站点“http://www.xb*ws.com/”，读取配置文件“12345.txt”，然后根据其中的设置下载恶意程序并自动调用运行。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序(流氓软件)等，给用户造成了不同程度的损失。“尖峰洞”变种itg在运行完成后会创建批处理文件“test.bat”并在后台调用执行，以此将自身删除。

英文名称：Trojan/Genome.nab

中文名称：“邪恶基因”变种nab

病毒长度：30720字节

病毒类型：木马

危险级别：★

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：fb4d6984d291e8c1b58d214bc4a6a2d8

特征描述：

Trojan/Genome.nab“邪恶基因”变种nab是“邪恶基因”家族中的最新成员之一，采用高级语言编写，经过加壳保护处理。“邪恶基因”变种nab运行后，会自我复制到被感染系统的“%SystemRoot%\system32\”文件夹下，重新命名为“services.exe”。尝试停止以下服务：“ALG”、“SharedAccess”、“wscsvc”。“邪恶基因”变种nab访问网络时，会修改被感染计算机的防火墙配置，从而绕过防火墙的监控，以此达到隐蔽通信的目的。将恶意代码注入到系统进程“explorer.exe”的内存空间中隐秘运行。不断尝试与客户端(IP地址为：65.55.*.88:25)进行连接，如果连接成功，被感染的计算机就会沦为傀儡主机。骇客可以向被感染的计算机发送恶意指令，从而执行任意控制操作(其中包括：文件管理、进程控制、注册表操作、服务管理、远程命令执行，甚至屏幕监控、键盘监听、鼠标控制、音频监控、视频监控等)，会给用户的信息安全构成严重的威胁。在被感染系统中搜索有效的E-mail地址，利用自带的SMTP引擎群发带毒邮件，从而达到自我传播的目的。“邪恶基因”变种nab在运行完成后会创建批处理文件“file.bat”并在后台调用执行，以此将自身删除。