工具箱蛀虫感染程序并打开后门
|
日期：2008年3月26日 作者： 查看:[大字体
中字体 小字体]
|
“工具箱蛀虫”（Win32.DelfSpy.je.885862），这是一个蠕虫病毒。它会感染一些小巧的实用程序，并在用户启动这些程序时运行起来，在电脑系统中制造后门。为防止用户发察觉，在运行完毕后它会自删除。
“征途盗号木马32”（Win32.Troj.Iespy.au），这是一个针对网络游戏《征途》的盗号木马程序。病毒首先会查找杀毒软件瑞星和卡巴斯基弹出的警告窗口，模拟用户鼠标点击允许操作。然后枚举系统上的江民、瑞星、卡巴斯基进程，把它们的进程结束。最后注入游戏进程，盗取游戏账号和密码。
一、“工具箱蛀虫”（Win32.DelfSpy.je.885862） 威胁级别：★★
喜欢从网上下载程序的用户需要留意了，根据毒霸反病毒工程师统计到的数据，最近感染型病毒又有扩散趋势。而且有证据表明，这些新产生的病毒会选择实用性的小程序进行感染。比如屏幕保护程序、桌面工具、游戏外挂等。
这些小工具由于不占系统资源、灵活实用，一直有着较高的下载量。病毒作者正是看重了下载量大这一点，制作出下面的这个蠕虫以及它的各变种。这个病毒是利用被感染文件的转移和下载来传播。它在进入用户系统后，会搜索屏保、外挂等小巧的应用程序，然后将自己附加在正常文件的前面。
当用户运行被感染的文件时，病毒就会被激活。它把名为tmp8.tmp的病毒文件拷贝到系统盘根目录下，并且释放嵌入在文件内部的后门程序tmp7.exe到系统根目录下，并立即执行，打开系统后门，恭候黑客的光临，如果黑客成功地侵入用户系统，他就能执行几乎所有想要的操作。为减少被用户发现的机率，在执行完成后，病毒就执行自我删除，抹去之前生成的病毒文件。
有一定反病毒技术知识的用户，在查看该病毒数据时可以发现，病毒作者为了增加杀毒软件的清除难度，在原文件感染节中重建了文件的引入表，并且在病毒代码执行完毕，准备返回入口地址时修复原文件正确的函数引入地址，以保证原文件不会运行错误。
二、“征途盗号木马32”（Win32.Troj.Iespy.au） 威胁级别：★
这是个《征途》的盗号木马，具有对抗部分杀毒软件的能力，但如果安装这些杀软的用户及时升级，还是比较安全的。
病毒在进入系统后，释放病毒文件ztinetzt.exe和ztinetzt.dll到系统盘的%WINDOWS%\system32\目录下，并修改注册表实现自启动。病毒运行起来后的第一件事是查看系统中是否安装得有杀毒软件卡巴斯基，如有，则修改系统时间为以前的时间，造成依赖系统时间进行激活和升级的卡巴瘫痪。
同时，它判断是否有卡巴斯基和瑞星的警告提示窗口弹出，如发现，就模拟用户的鼠标点击动作，允许操作。并紧接着查找卡卡巴斯基、瑞星、江民的主程序，把它们完全关闭，彻底扫清自己盗号工作上的障碍。
解决掉杀软的威胁，剩下的工作，就是查找游戏进程，然后注入盗号了。这对病毒来说没任何难度，轻轻松松就能完成。这样一来，用户就损失掉了辛辛苦苦打出来的帐号。
因为现在的大多数木马都具备对抗杀软的功能，因此，建议用户们在系统资源允许的情况下，再安装一份安全辅助软件，这样可以提高系统安全标准。
金山反病毒工程师建议
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
上一篇:同花顺2008软件评测之基本操作篇
下一篇:Vista Sidebar Gadget开发技巧
|
| 工具箱蛀虫感染程序并打开后门 相关文章： |
|
|
|
| 工具箱蛀虫感染程序并打开后门 相关软件： |
|
|
|
精品推荐