07.27病毒预警：“匿名下载器”匿名躲避查杀、下载木马_安全中国

　　“匿名下载器147456”（Win32.TrojDownloader.Agent.147456），这是一个较典型的木马下载器病毒。该下载器在躲避杀软和用户手动查杀方面采取匿名法，也就是释放的病毒副本文件路径和文件名都随机。

　　“AUTO病毒下载器58053”（Worm.AutoRun.m.258053），该病毒是个木马下载器。运行后会在后台悄悄下载大量的木马病毒文件并运行。此毒还会在所有磁盘分区的根目录下创建AUTO病毒，以便传播自己。并利用映像劫持，令安全软件失效。

　　一、“匿名下载器147456”（Win32.TrojDownloader.Agent.147456）威胁级别：★

　　近来，毒霸反病毒工程师发现，越来越多的木马采取匿名法来躲避杀软和用户的查杀，所谓匿名法，也就是病毒将自己所释放出文件使用随机名称与路径。此篇播报中的下载器就是这样一个病毒。

　　它进入电脑后，首先预览%WINDOWS%\system32\目录下的所有目录，然后在这些目录中随机选取一个，在这个目录下新建病毒目录，然后在其下释放病毒副本文件。随后在注册表中创建自启动项，使病毒随系统启动。

　　如果可以成功运行起来，该毒就连接多个指定的远程地址http://comm.w****olbar.co.kr/backman/bmvcspyware.php，读取下载列表，下载其它木马文件。经毒霸反病毒工程师检查，它所下载的木马中，包含有自己的最新版本，也就是说，此毒具有自我更新功能。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-agent-147456-50833.html

　　二、“AUTO病毒下载器258053”（Worm.AutoRun.m.258053）威胁级别：★★

　　此下载器具有较强的传染能力。它利用AUTO技术进行传播，每当进入一台新的电脑，就会在各磁盘分区中生成AUTO文件，以感染用户插上电脑的移动存储设备。

　　病毒进入电脑后所释放的文件较多，都集中在系统盘的%WINDOWS%\system32\目录下，主要文件有ntfschk.exe、event32.dll、gbk.nls等。

　　接着，病毒修改注册表，生成自己的服务项，达到开机自启动。与此同时，它会尝试利用映像劫持令一些主流的安全软件无法启动，例如金山毒霸、360、卡巴斯基、QQ医生、NOD32、filemon等。

　　最后，病毒连接病毒作者指定的地址http://www.*******ina.cn/mm/，下载其他的病毒文件并运行。

　　为实现更快速的传播，该毒会在各磁盘分区的根目录下生成一个winsvcui.exe和autorun.inf文件，只要用户在中毒电脑上使用U盘等移动存储设备，病毒就会将其感染。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/worm-autorun-m-258053-50834.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年7月27的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。