01.06病毒预警：溢出下载者利用系统漏洞建立远程连接_安全中国

“溢出下载者9779”（JS.RealExploit.t），这是一个会利用realplay播放器与WINDOWS操作系统的MS-06014漏洞制造的溢出破坏的脚本病毒。如果溢出成功，它就会从指定的地址下载恶意程序。

　　“灰鸽子变种pv”（Win32.Hack.Huigezi.pv.815104），该病毒为灰鸽子的一个变种。它运行后会注入到系统的桌面进程Explorer.exe中，分析用户的IP地址，并接自动连接黑客指定的远程服务器，如果连接成功，黑客就可通过它来对中毒计算机实施各种想要的操作。

　　一、“溢出下载者9779”（JS.RealExploit.t）威胁级别：★★

　　此病毒本身是一串恶意代码，它会通过网页挂马等方式传播。只要一进入用户的计算机系统，它便立即展开搜索，查找用户的WINDOWS操作系统中是否存在未打补丁的MS-06014漏洞，如果有，就立即利用该漏洞产生大量垃圾数据，制造溢出事件。

　　所谓溢出，指的是水池里的水太多，漫了出来。计算机系统中就有一个类似水池的缓冲区，该区域用于暂时存放输入电脑的数据，如果发生溢出，溢出的数据就会覆盖到其它的数据上，如果这些溢出数据是有害的，就会对正常的系统产生破坏。

　　该病毒正是通过此原理对电脑系统进行破坏。溢出成功后，它会立即在后台悄悄建立远程连接，从http://9*9.dy**yk*8.cn/f*st.exe这个由木马作者指定的地址下载其它病毒程序，并将其存放中毒电脑系统盘%WINDOWS%\temp\目录下，并取名为“MicroSofts.pif”，试图令用户相信它是WINDOWS系统的相关文件。此外，该病毒还会利用10.5和11 Beta版本realplay播放器的漏洞制造溢出，从http://d2.l**gi*g.com/d2/这个地址下载其它病毒。

　　此病毒本身并不具备破坏作用，但它下载的其它病毒却会给系统安全带来无法估计的威胁，建议用户及时打上系统补丁，同时升级杀毒软件，防范它的的入侵。

　　二、“灰鸽子变种pv”（Win32.Hack.Huigezi.pv.815104）威胁级别：★★

　　病毒进入电脑系统后，会将病毒文件KAV.sys释放到系统盘的%WINDOWS%\system32\drivers\目录下，然后修改系统注册表，以便以后都能随着系统的启动而自动运行起来。

　　病毒开始运行后，就搜索并注入到系统桌面进程Explorer.exe中，然后自动分析控制端（中毒电脑）的IP，然后在用户无法察觉的情况下自动创建网络连接。与此同时。它会打开打中毒电脑上的8080和1080号端口，等待黑客的连接。

　　只要黑客顺利地与中毒电脑建立连接，就能利用打开的端口对中毒计算机实施各种操作，无论文件创建、删除，还是进程启动和关闭，以及网络服务的运行，黑客都能为所欲为。给用户的个人隐私和系统安全造成严重威胁。一些别有用心的黑客甚至会利用中毒电脑对其它正常电脑发动攻击，给用户带不必要的麻烦。

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年1月6的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。