“完美盗号者57344”是个针对《完美世界》的盗号木马。它能够破坏部分安全软件的正常运行，然后盗
7 \/ g! G1 q0 `( m取游戏帐号和密码，并发送到木马病毒作者指定的远程地址。
; J) T- x& D; B" H7 t“黑客学徒291840”这是个个木马病毒是黑客木马程序。它通过感染exe格式文件来进行传播，如果发作
+ c/ O: Y5 i# p; }$ _
，就会关闭许多常见安全软件的进程，然后连接木马病毒作者指定的远程地址。
; V) q+ K2 D1 n" ^% H一、“完美盗号者57344”
% g& x6 g6 X' y/ I) A) g' t木马病毒进入电脑后，在系统盘的%WINDOWS%\system32\目录下释放出木马病毒文件MMSADZFB1064.exe、
+ s1 I4 M/ z1 v# W2 |1 k W
MMSADZFB1064.dll，其中前者是木马病毒主文件，会被写入注册表启动项，令木马病毒实现开机自启动，
- Z* s, g C8 ^
而后者用于注入进程盗取帐号。
N6 \% b: m5 I) I该木马病毒具有一定程度的对抗能力，可以破坏一些安全软件的正常运行。它在系统盘
% z' \, t5 X s. v3 I6 y9 D
WINDOWS\system32\drivers\文件夹中生成驱动文件Hdv32.sys和Hdv32_.sys，利用它们替换SSDT表的系统
( W, E. A, H+ X* d" e8 O服务函数地址，让具有主动防御功能的杀毒软件失效。
; S+ e- m1 _, B2 U5 F
随后，木马病毒直接枚举进程，强行关闭360安全卫士、瑞星等安全软件的进程。同时它会把《完美世界
, H' j6 n: O6 z6 H* }
》的进程也关闭。
: c0 E+ D+ k# n8 D8 y: u5 J6 J当用户重新登录游戏时，木马病毒就利用之前释放出的dll文件记录下用户输入的帐号和密码，并发送至
0 D# H( q8 V: O指定的接收网址。
7 }+ F6 C# V3 R
二、“黑客学徒291840”
4 G/ j z" b( [
这是一个黑客木马病毒程序的变种，它参考了维金木马病毒的一些技术，试图对中毒电脑实行远程控制。
+ [# u( y; e5 C2 Y! p& c木马病毒运行时将自身文件suchost.exe拷贝至WINDOWS\SYSTEM32\Drivers\目录下，通过修改注册表中的
% ^. O9 F2 c3 Z, l+ i- l# I相关数据，将其设置为隐藏文件，避免被用户发现。同时，把它添加到注册表的启动项中，实现开机自启
$ l+ j. z, b5 @# P动。
c0 ^6 a: {5 G
木马病毒接下来会启动感染线程。感染时，它将正常文件附加在自己文件的末尾，这样当用户运行正常文
7 a' u% F5 S! e5 _件时，它就能抢先运行起来，然后再释放出原始文件并执行。因为这个过程只不过是一瞬间的事，用户不
( b# _) k/ w3 I- u" P2 f
会察觉。不过，有一个特征值得留意，就是该毒会在它到过的每个文件夹内创建文件Desktop_.ini，内容
3 y$ b; Z% X' z. T& @3 h为当天日期。
2 f, b+ l0 L: e+ |
完成以上工作，木马病毒就会尝试删除卡巴斯基、麦咖啡、赛门铁克、金山毒霸、NOD32、SSM、SREng、
% R, v5 o [) c; A6 a1 L
NetworkAssociates、冰刃等安全软件服务进程。当失去安全软件的监控，木马病毒就可以自由地连接木
4 `! D) t: r9 f" z% n7 _$ j) j马病毒作者指定的远程地址，下载最新的更新文件，并等待木马病毒作者（黑客）的指令，帮助黑客控制
+ \3 X5 ]& i" U6 e, n7 I! i
中毒电脑。
; h4 R7 i0 T* v, Z6 J+ `# _$ Q
! ~8 _2 k1 A' L7 w4 j) X金山毒霸反病毒中心经过这周的调查发现,这周主要爆发了网络盗号木马及黑客远程控制木马,请广大用户
6 O4 S0 d) \$ G1 U- \& _合理安全的上网,不要进非法的网站.
' K& ]2 \2 `# N
金山毒霸官方网站提供最新
金山毒霸2008免费下载地址:
http://www.kingsoft-zj.cn/
+ D# S% F& @, j, W2 e. G2008最新
office2007免费下载：
2 [; z* H+ P3 W% ohttp://www.wps2007office.org.cn
