08.13病毒预警：“隐身木马下载器”隐藏进程、下载木马_安全中国

　　“隐身木马下载器8192”（Win32.TrojDownloader.Small.8192），这是一个木马下载器。它会利用AUTO技术感染U盘等移动存储设备，实现高效的自动传播。它还会将自己的进程设置为系统和隐藏属性，躲避检查。

　　“诛仙盗号木马49152”（Win32.PSWTroj.OnLineGames.49152），这是个盗取网络游戏《诛仙》帐号的盗取木马。它会注入系统桌面进程中，实现隐蔽运行。并不断重写自身的注册表启动项，试图阻止杀软和用户对自己的查杀。

　　一、“隐身木马下载器8192”（Win32.TrojDownloader.Small.8192）威胁级别：★

　　病毒复制自身主文件到系统盘根目录下，文件名从systime.exe或者systyme.exe中随机挑选。同时，它在包括系统盘在内的所有磁盘分区根目录下，都生成一个autorun.inf文件，此文件指向病毒主文件，只要用户打开磁盘，或者在中毒电脑上使用U盘等移动存储器，病毒就会自动将其感染。

　　接着，该毒修改注册表，实现开机自启动，并设置自己文件的属性为系统、隐藏模式，以此蒙蔽用户。当顺利运行起来，它就会在后台悄悄连接指定的远程服务器从http://d****bo.go2.icpcn.com，下载其它病毒和木马文件。

　　另外，为完全隐藏自己，它还会修改注册表中关于进程显示的数据，让用户无法在进程管理器中看到自己。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-small-8192-50867.html

　　二、“诛仙盗号木马49152”（Win32.PSWTroj.OnLineGames.49152）威胁级别：★

　　这个盗号木马主要利用病毒下载器进行传播，作案原理比较简单。它进入用户电脑后，在%WINDOWS%\system32\目录中释放出自己的病毒文件zxavpw0.dll，并将它的数据写入注册表启动项，实现开机自启动。

　　下一次开机时，病毒就会运行起来。它注入系统桌面进程explorer.exe 中，实现隐蔽的运行。然后不停搜索《诛仙》的进程 elementclient.exe，发现后就读取其游戏内存，盗取帐号和密码信息，并发送带病毒作者指定的地址。

　　由于 elementclient.exe这个进程名被多款游戏采用，因此，该毒除影响《诛仙》外，对《完美世界》、《武林外传》、《机战》、《热血传奇》等游戏的帐号也存在威胁。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-pswtroj-onlinegames-49152-50868.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年8月13的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。