06.29病毒预警：“vbs下载器”试图关闭毒霸、下载木马_安全中国

　“vbs下载器12536”（VBS.UCCT.ed.12536），这是一个网页脚本文件下载者程序。它具有自动更新自身的功能，并且会试图关闭毒霸的实时监控。

　　“仙境传说盗号器122880”（Win32.Troj.Mapler.ae.122880），该病毒是网络游戏《仙境传说》的盗号木马。病毒运行后会衍生病毒文件至系统目录下，还会修改注册表生成启动项。最后盗取的账号信息并发送到木马种植者的邮箱当中。

　　一、“vbs下载器12536”（VBS.UCCT.ed.12536）威胁级别：★★

　　这个下载器可利用网页挂马传播，传播速度较快。并且它具有对抗杀毒软件的能力。

　　病毒一进入电脑，就首先修改注册表的启动项实现开机自启动，并修改超级隐藏项，达到隐藏自身的目的。如果它完成这项工作，它释放到%WINDOWS%目录和%WINDOWS%\system32\目录下的`.vbe文件就能实现隐身，让用户无法找到。

　　病毒搜索进程，试图结束毒霸的kwatch.exe文件和ccenter.exe文件进程，保证它自身运行，但经毒霸反病毒工程师检验，该行为失败。

　　接着，它遍历全部磁盘分区，在它们的根目录下创建AUTO文件。这样，如果用户在中毒电脑上使用U盘等移动存储设备，病毒就能将其感染。

　　最后，病毒从作者指定的多个网址下载自身的更新版本和其它木马，引起更大规模的破坏。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/vbs-ucct-ed-12536-50748.html

　　二、“仙境传说盗号器122880”（Win32.Troj.Mapler.ae.122880）威胁级别：★

　　病毒进入用户电脑后，在系统盘的%WINDOWS%\Help\下释放出病毒文件3394C72B3DC4.exe和3394C72B3DC4.dll。其中的exe文件是病毒主文件，会被写入注册表启动项，让病毒实现开机自启动。而dll文件负责盗号工作。

　　当顺利启动，病毒将dll文件注入桌面进程，搜索网游《仙境传说》的进程，注入其中，通过内存读取的方式获得用户的游戏帐号和密码。并发送到病毒作者指定的邮箱。

　　顺便提及，该毒具有自我删除的功能，运行完毕后就会删除自己的原始文件，减少被用户发现的可能。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-mapler-ae-122880-50749.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年6月29的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。