铁军 2008-8-28 10:55
8月25日病毒播报（网游盗号木马106496、广告文件夹102400）
[align=center][size=5][color=Red]金山毒霸每日病毒预警[/color][/size]
[/align]
“网游盗号木马106496”（Win32.Troj.OnLineGamesT.kl.106496），这是一个盗号木马。它会盗取《武林外传》、《梦幻西游》、《华夏2》、《完美世界》《风云》《魔域》等游戏的帐号信息。病毒会不断重写自身的注册表启动项，防止被查杀。
“广告文件夹102400”（Worm.Mobler.i.102400），这是一个广告程序。它会利用AUTO技术进行自动传播。禁用任务管理器和注册表，注册表自启动。病毒每隔几十毫秒就以新的进程和文件来代替旧的进程和文件，试图以此来逃避安全软件的查杀。
[size=4][color=Red]一、“网游盗号木马106496”（Win32.Troj.OnLineGamesT.kl.106496）威胁级别：★[/color][/size]
此毒进入用户系统后释放出病毒文件mttwfh.dll到%WINDOWS%\system32\目录下，此文件为病毒主文件。它会被写入系统注册表启动项，令病毒实现开机自启动。
当顺利运行起来，该毒就搜索当前是否有《武林外传》、《梦幻西游》、《华夏2》、《完美世界》《风云》《魔域》等游戏的进程窗口，若有，就注入该进程中，获取用户账号密码信息。
病毒会不断重写注册表启动项，以防自身的启动项被用户删除。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅
http://vi.duba.net/virus/win32-troj-onlinegamest-kl-106496-50891.html
[size=4][color=Red]二、“广告文件夹102400”（Worm.Mobler.i.102400）威胁级别：★[/color][/size]
病毒图标会伪装成一个文件夹的图标，迷惑用户。它运行后，拷贝自身到C:\windows\temp目录下，以一个随机名来命名，文件名后门几个数字是当前的日期加上一段随机数字序列。
病毒运行起来，就修改IE浏览器的默认首页为[url]http://www.2[/url]**lt.Com，这样，用户每次启动IE，都会被指引到该网站上。为防止用户修复浏览器，该毒会并禁用任务管理器、和注册表编辑器。同时，病毒会每隔几十毫秒就用新的进程和文件来代替旧的进程和文件，从而使用户即便修复了任务管理器，也不容易定位到病毒的当前进程及文件。
如果用户坚持手动查杀该毒，那必须在较短的时间间隔里结束病毒的当前进程和另一个刚刚创建好的新进程。
为快速传播自己，病毒会在各磁盘分区下建立自己的AUTO文件，这样它就可以自动感染用户的U盘等移动存储设备。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅
http://vi.duba.net/virus/worm-mobler-i-102400-50892.html
[size=4][color=Red]金山反病毒工程师建议[/color][/size]
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。
金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年8月25的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录[url]http://www.duba.net[/url]免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。
