金山毒报：蓝屏广告木马修改IE
添加时间: 2008-8-31 13:35:06 作者: 不详 阅读次数:26 来源: 金山软件
“天堂日服盗号器90112”（Win32.PSWTroj.OnlineGames.90112），该木马是网络游戏《天堂Ⅱ》日本服务器的盗号木马。病毒会把盗取的账号信息通过邮箱发送的方式发送到木马种植者手上，然后删除自己的原始文件。
“蓝屏广告木马147456”（Win32.Troj.Agent.cd.147456），这是一个广告间谍程序。它会将用户的IE浏览器指向到病毒作者指定的广告网页，同时还会收集用户的系统数据。
一、“天堂日服盗号器90112”（Win32.PSWTroj.OnlineGames.90112） 威胁级别：★
此病毒是某网游盗号木马群的成员之一。它运行起来后，就会把自己的dll文件注入到系统桌面进程当中，监视《天堂Ⅱ》游戏进程，从中盗取用户的账号资料，并将赃物通过邮箱发送的方式发送到木马种植者手上，然后删除自己的原始文件。
该木马进入电脑后，就将自己的文件KcrnaeghDrv.dll释放到%WINDOWS%\system32%\目录下，并将其写入注册表启动项，使病毒实现开机自动运行。习惯手动查杀的用户，需要将该文件和注册表中的相关数据清除，才能恢复电脑的正常。
另外，此木马所针对的目标是《天堂Ⅱ》的日服帐号。因此，该游戏的日服玩家如果没有安装毒霸，就必须提高警惕，不要随便下载未经官方认可的游戏插件。
二、“蓝屏广告木马147456”（Win32.Troj.Agent.cd.147456） 威胁级别：★
这个广告程序和其它“同类产品”功能差不多。进入系统后就会修改注册表中关于IE浏览器的数据，使得自己能控制IE浏览器弹出病毒作者指定的网页，为这些广告网站赚取流量。
同时，它会记录下用户系统的配置、地址信息，将它们发送给病毒作者。如果病毒作者将这些数据卖给黑客，那么会给黑客入侵用户电脑提供很大方便。
病毒文件会被隐藏在%WINDOWS%\system32\目录下，有随机命名的一个dll文件和两个exe文件。病毒通过感染系统自身的winlogon.exe文件来加载自己的文件。如果习惯手动杀毒的用户直接强制删除病毒dll文件，可能会导致winlogon.exe加载病毒dll失败而蓝屏。
金山反病毒工程师建议
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。
上一篇文章: 8.29毒报:梅勒斯木马下载器下病毒 下一篇文章: 下载器蠕虫变种IR"关闭大量安全软件
相关文章: