02.28病毒预警：热血江湖盗贼窃取网络游戏帐号_安全中国

　　“热血江湖盗贼107664”（Win32.PSWTroj.OnLineGames.ts.107664），该病毒是针对网络游戏《热血江湖》的盗号木马。它运行后会创建服务以达到开机自启动，通过读取内存的方式偷盗取账号信息，并以网页提交的方式发送到木马种植者手上。

　　“奇迹世界盗号木马14789”（Win32.Troj.AgentT.ya.14789），这是一个盗取《奇迹世界》帐号信息的木马。它会破坏WINDOWS防火墙和系统自动更新功能的正常运行，然后建立监视程序，盗取用户的游戏帐号和密码。由于它的频繁建立监视和处理数据，会占用电脑系统的大部分资源，造成电脑反应变慢。

　　一、“热血江湖盗贼107664”（Win32.PSWTroj.OnLineGames.ts.107664）威胁级别：★

　　病毒进入用户电脑后，在系统盘中释放出四个病毒文件，分别为%WINDOWS%\system32\目录下的msepion.sys、xjxr.cfg、xjxr.dll，以及%WINDOWS%\system32\drivers\目录下的msyecp.sys，并把它们的相关数据写入注册表启动项，以实现自己的开机自启动。

　　当病毒成功运行起来，它就把之前生成的xjxr.dll文件加载到系统进程当中，搜索网络游戏《热血江湖》的进程。如发现，便通过读取内存的方式获得游戏的账号和密码，然后悄悄建立远程连接，把盗取到的账号和密码以网页提交的形式发送到木马种植者指定的网址http://ji******.1tan8.com/rx/nicai.asp，造成用户虚拟财产的损失。

　　顺便提及，该病毒具有自我删除的功能，当运行完成后，它会删除自己的原始文件，使得用户不易发现系统中出现了多余的东西。

　　二、“奇迹世界盗号木马14789”（Win32.Troj.AgentT.ya.14789）威胁级别：★

　　病毒进入系统后，于系统盘中释放出三个病毒文件，即%WINDOWSt%\system32\目录下的raqjcpi.dll和raqjcni.dll，以及%WINDOWS%\Fonts\目录下的chqiaur.fon。其中，chqiaur.fon是一份伪装成字体文件的病毒地址列表。

　　病毒运行后，会将自己拷贝到“%WINDOWS%\system32\”目录下，并命名为raqjctl.exe，然后修改注册表中的数据，使自己可在以后每次用户启动电脑时，都随着系统桌面进程explorer.exe自动开始工作。

　　接下来，它将之前生成的raqjcpi.dll注入到系统进程中，查找并盗取网络游戏《奇迹世界》的帐号信息，并将其发送到木马种植者指定的地址http://www.a-x**.cn/b*b/post.asp中。

　　此外需注意，该病毒运行后会修改注册表中的防火墙和自动更新设置，使WINDOWS防火墙被禁用，而自动更新无法被启用。同时，由于病毒不断地注入系统进程和处理数据，占用大量系统资源，用户的电脑会变得奇慢无比。

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年2月28的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。