天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧软件 >> 正文

小心减速下载器不断下载木马

2008-7-29塞迪网kaduo

“减速下载器29760”(Win32.TrojDownloader.Firu.jz.29760),这是一个木马下载器。它会不断下载木马到电脑中运行,造成系统资源减少,影响电脑运行速度。

“问道盗号者61440”(Win32.Troj.GameOnlineT.xx.61440),这是一个针对网络游戏《问道》的盗号器。它为干扰杀毒软件的查杀,设置了许多加密。

一、“减速下载器29760”(Win32.TrojDownloader.Firu.jz.29760) 威胁级别:★

此下载器进入系统后,会判断自己的文件是否完整,如果完整,就读取其中一个文件,获得运行需要的一些参数。要是无法获得这些参数,病毒就无法运行起来。

病毒将用户名加密之后作为互斥对象名创建互斥对象,防止自己的其它副本进入电脑重复,然后运行检查是否有Zone labs防火墙运行,如有则将其关闭。

接下来,病毒就连接由病毒作者指定的地址从http://1*4.1*6.1*3.157/ping.php/%s/%d/%d,下载其它病毒到本地运行。这些病毒大部分是盗号木马。由于该下载器每小时就会执行一次下载,就造成电脑中运行的木马越来越多,造成系统反应变慢。

二、“问道盗号者61440”(Win32.Troj.GameOnlineT.xx.61440) 威胁级别:★

如果没有对抗型下载器的帮助,盗号木马想要顺利在用户的电脑中运行,就得自己设法对抗杀毒软件。此篇播报中的《问道》盗号木马,就具有一定的对抗能力。

该毒盗号方式比较简单和老套,它进入系统后释放文件hellodonk.exe和hellodon.dll到%WINDOWS%\system32\目录下,再添加自己到注册表启动项。

然后,病毒建立自己的进程,开始查找是否存在“AskTao”(《问道》游戏)的窗口,如果找到的话,病毒会结束掉该窗口,如果玩家不慎重,立即再登录游戏的话,木马就可以乘机记录下玩家输入的账号密码。

所有的行为一切看上去都一目了然,这样当然会被杀毒软件发现。于是病毒作者设置了许多复杂的加密,对自己的大量函数,以及发送赃物的网址进行加密,不过毒霸依然能够彻底查杀该毒。

金山反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控,防范日益增多的病毒。用户在安装反病毒软件之后,应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报,这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加,所以各类盗号木马必将随之增多,建议用户一定要养成良好的网络使用习惯,如不要登录不良网站、不要进行非法下载等,切断病毒传播的途径,不给病毒以可乘之机。

本文来源:塞迪网 作者:kaduo

声明
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。文章是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请作者持权属证明与本网联系,我们将及时更正、删除,谢谢。 Email:support@txwb.com,系统开号,技术支持,服务联系微信:_WX_1_本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行