江民今日提醒您注意：在今天的病毒中Rootkit.Qandr.c“圈蛀”变种c和Trojan/PSW.LMir.gwk“传奇窃贼”变种gwk值得关注。
1 g/ B; A) W5 F8 t0 ?% p, w3 K" m
病毒名称：Rootkit.Qandr.c
" L! G" w$ V, j; O0 P* \# P中 文 名：“圈蛀”变种c
7 O3 P2 i- w; y3 {2 m
病毒长度：172032字节
) k8 h" M' }4 T, y1 u- R i病毒类型：木马
. d" x% s2 \/ j5 @; w1 _& T
危险级别：★★
3 p' p. g ^8 e影响平台：Win 9X/ME/NT/2000/XP/2003
; T9 l" Z) u% n# H7 cRootkit.Qandr.c“圈蛀”变种c是“圈蛀”木马家族的最新成员之一，采用汇编语言编写，并经过加壳保护处理。“圈蛀”变种c运行后，在被感染计算机系统的“%SystemRoot%\system32\drivers\”目录下释放一个恶意的驱动程序文件“qandr.sys”。将“qandr.sys”注册为系统服务，实现木马开机自动运行。利用Rootkit技术，采用“SSDT HOOK”技术挂接了系统中的“NtEnumerateKey”和“NtOpenKey”API函数，采用“FSD inline HOOK”技术挂接了系统文件过滤驱动中的“IRP_MJ_DIRECTORY_CONTROL”请求，隐藏自我，防止被查杀。“圈蛀”变种c可能是一个驱动级的后门程序，会给被感染计算机用户带来潜在的危险，同时会带去不同程度的损失。另外，“圈蛀”变种c会在系统临时文件夹下创建一个批处理程序文件，当恶意驱动程序文件“qandr.sys”安装完毕后调用这个批处理程序实现自我删除。
) S+ S8 z: S: V3 Y& ~病毒名称：Trojan/PSW.LMir.gwk
! E- [' p5 n7 F4 n I0 |中 文 名：“传奇窃贼”变种gwk
# R6 w/ }# Y/ q* y) `! u5 d. M
病毒长度：83249字节
# N* W& H6 b0 v' z% T, |病毒类型：木马
$ j N1 l2 v/ W& B危险级别：★
8 w( \ n; t A7 e影响平台：Win 9X/ME/NT/2000/XP/2003
2 W1 w/ M% _8 N( F/ R% r2 K9 o
Trojan/PSW.LMir.gwk“传奇窃贼”变种gwk是“传奇窃贼”木马家族的最新成员之一，采用高级语言编写，并经过加壳保护处理。“传奇窃贼”变种gwk运行后，自我插入到被感染计算机中的某些系统进程内加载运行，隐藏自我，防止被查杀。修改注册表，实现木马开机自动运行。在被感染计算机系统的后台利用HOOK和内存截取等技术盗取《传奇世界》玩家的游戏帐号、游戏密码、仓库密码、角色等级、金钱数量、所在区服、计算机名称等信息，并在后台将玩家信息发送到骇客指定的远程服务器上，致使《传奇世界》游戏玩家的游戏帐号、装备物品、金钱等丢失，给游戏玩家带来非常大的损失。另外，“传奇窃贼”变种gwk会强行删除系统中的HOSTS文件，防止用户把该木马的收信地址加入到具有“域名映像劫持”功能的HOSTS文件中，以便正常接收到盗取的玩家帐号等信息。
! C0 S* N! Y5 P! }" H
针对以上病毒，江民反病毒中心建议广大电脑用户：
8 h1 d, |( u3 G5 O# q7 D 1、请立即升级江民杀毒软件，开启新一代智能分级高速杀毒引擎及各项监控，防止目前盛行的病毒、木马、有害程序或代码等攻击用户计算机。
$ E) l. e4 ` n 2、江民KV网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。
8 {6 T- g" R* O$ k6 q$ D) ]( z! j 3、全面开启BOOTSCAN功能，在系统启动前杀毒，清除具有自我保护和反攻杀毒软件的恶性病毒。
# D" g1 Q- F' }3 G2 P 4、江民杀毒软件的虚拟机脱壳技术，针对目前主流壳病毒进行虚拟脱壳处理，有效清除“壳病毒”。
" F/ _# Y# m3 j" ^
5、“网页安全专家”可以检测到用户计算机上是否感染了恶意网页，如检测发现恶意网页，用户可以按照提示自动上报给国家计算机病毒应急中心进行处理。网页安全专家下载地址：
http://www.antivirus-china.org.cn/avtools/avtools_webexpert.htm* T, g6 i* D) f2 \ I
6、“江民密保”可有效保护网上银行、支付平台、网上证券交易、网络游戏等账号密码，全面保护用户私密信息。
" f' } `1 @ u( U# K1 @ 7、怀疑已中毒的用户可使用江民免费在线查毒进行病毒查证。免费在线查毒地址：
http://online.jiangmin.com/chadu.asp.
/ _0 p( _# n; e- k3 L. v
有关更详尽的病毒技术资料请直接拨打江民公司的技术服务热线800-810-2300和010-82511177进行咨询，或访问江民网站
http://www.jiangmin.com进行在线查阅。
