07.24病毒预警：“减速下载器”不断下载木马、致系统变慢_安全中国

　　“减速下载器29760”（Win32.TrojDownloader.Firu.jz.29760），这是一个木马下载器。它会不断下载木马到电脑中运行，造成系统资源减少，影响电脑运行速度。

　　“问道盗号者61440”（Win32.Troj.GameOnlineT.xx.61440），这是一个针对网络游戏《问道》的盗号器。它为干扰杀毒软件的查杀，设置了许多加密。

　　一、“减速下载器29760”（Win32.TrojDownloader.Firu.jz.29760）威胁级别：★

　　此下载器进入系统后，会判断自己的文件是否完整，如果完整，就读取其中一个文件，获得运行需要的一些参数。要是无法获得这些参数，病毒就无法运行起来。

　　病毒将用户名加密之后作为互斥对象名创建互斥对象，防止自己的其它副本进入电脑重复，然后运行检查是否有Zone labs防火墙运行，如有则将其关闭。

　　接下来，病毒就连接由病毒作者指定的地址从http://1*4.1*6.1*3.157/ping.php/%s/%d/%d，下载其它病毒到本地运行。这些病毒大部分是盗号木马。由于该下载器每小时就会执行一次下载，就造成电脑中运行的木马越来越多，造成系统反应变慢。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-firu-jz-29760-50827.html

　　二、“问道盗号者61440”（Win32.Troj.GameOnlineT.xx.61440）威胁级别：★

　　如果没有对抗型下载器的帮助，盗号木马想要顺利在用户的电脑中运行，就得自己设法对抗杀毒软件。此篇播报中的《问道》盗号木马，就具有一定的对抗能力。

　　该毒盗号方式比较简单和老套，它进入系统后释放文件hellodonk.exe和hellodon.dll到%WINDOWS%\system32\目录下，再添加自己到注册表启动项。

　　然后，病毒建立自己的进程，开始查找是否存在“AskTao”（《问道》游戏）的窗口，如果找到的话，病毒会结束掉该窗口，如果玩家不慎重，立即再登录游戏的话，木马就可以乘机记录下玩家输入的帐号密码。

　　所有的行为一切看上去都一目了然，这样当然会被杀毒软件发现。于是病毒作者设置了许多复杂的加密，对自己的大量函数，以及发送赃物的网址进行加密，不过毒霸依然能够彻底查杀该毒。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-gameonlinet-xx-61440-50828.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年7月24的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。