SiS001! Board - [第一会所关闭注册]

标题: [交流] 近期最活跃的10大病毒资料及解决方案 [打印本页]

作者: 风云111 时间: 2008-1-31 15:08 标题: 近期最活跃的10大病毒资料及解决方案

1.Win32.Troj.OnlineGames.py.102400
这是一个盗号木马，病毒进入电脑系统后，会将自身文件DbgHlp32.exe复制到系统盘的%WINDIR%目录下，同时修改系统注册表的相关数据，将自己设置为随系统启动而启动。

　　接着，病毒读取自身的配置资源，并在%WINDIR%目录下生成病毒文件DbgHlp32.dll。这个dll文件对病毒的犯罪有着重要的作用。它将该文件注入系统桌面的进程explorer.exe，展开全局监视，不断搜索如果检测网络游戏《剑侠情缘2》、《大话西游3》、《破天一剑》、《征服》、《QQ华夏》、《魔域》以及“浩方”对战平台的主程序，一旦发现，立刻通过读取游戏内存的方式获取用户的帐号密码等信息。如果成功得手，病毒就会在用户无法知晓的情况下建立远程连接，将偷得的信息发送到http://www.n*ud*d.com/这个由木马种植者安排好的地址，给用户造成虚拟财产的损失。

　　此外，该盗号者具备自删除的功能，运行完毕后会创建批处理程序删除自己的原始文件，令用户无法找到病毒源。此外，病毒在盗取游戏帐号信息时，还会紧盯卡巴斯基和瑞星和进程，如发现它们试图弹出提示框警告用户，就会抢先将其关闭，使用户无法知道系统中的异常。

　　2.Win32.Troj.OnlineGames.db.30720

　　查毒日志类似于

　　引用:

　　病毒 2008-01-20 15:30:02 C:\windows\system32\mszxkbb32.dll Win32.Troj.WMOnline.al.102400病毒 2008-01-20 15:30:02 C:\windows\system32\hcenmu.dll Win32.Troj.OnlineGames.db.30720病毒 2008-01-20 15:30:01 C:\windows\system32\vhqdpt.dll Win32.Troj.OnlineGames.db.30720病毒 2008-01-20 15:29:50 C:\Windows\system32\ttiipp.dll Win32.Troj.OnlineGames.db.30720

　　病毒程序主文件名为随机字符，扩展名为dll，该病毒会注入正常程序的进程运行。该病毒入侵不是孤立的事件，通常还会伴随更多的木马被发现，显然是木马下载器的杰作。

　　3.Win32.TrojDownloader.Small.hs.976896

　　这个病毒的别名叫下载者海神号，字节数976896,威胁级别：★★

　　该病毒进入电脑系统后，会立即修改系统时间为“2001”年，使得那些依赖系统时间进行激活和升级的杀毒软件失效。失去安全软件保护的电脑，会很容易受到外部恶意程序的攻击。

　　如果用户检查系统启动项，会发现多出了两个路径在%windows%目录下的项目，分别为338448M.exe和338448W.exe，它们便是病毒文件。病毒运行后，分别在%WINDOWS%\temp\、%WINDOWS%system32\、%windows%、%Windows%\ Drivers\等目录下生成大量的EXE、DLL格式的病毒文件，该些文件主要作用是盗号。

　　盗号的范围包括《传奇》、《梦幻西游》、“QQ”等热门网游及即时聊天软件。该病毒会导致系统资源大量占用，打开软件或程序时，都会感到速度明显缓慢。当用户试图关闭系统时，甚至会出现电脑卡死在“正在保存设置……”画面的情况。

　　该病毒会尝试替换系统的资源管理器，清除病毒之后，会发现无法登录到桌面，因为explorer.exe被破坏了。好在可以从%system32%\dllcache中复制一个explorer.exe的备份到%system32%以解决此问题。

　　4.Win32.Troj.OnlineGames.t.94208

　　升级到07.12.12版本可以查杀该病毒

　　同样，该病毒是木马下载器的产物，目前未能通过搜索引擎找到更多的分析或日志。

　　5.Win32.Troj.OnlineGamesT.bo.57344

　　升级到08.01.10版本可以解决该病毒，该病毒同样不是孤立存在的，发现此病毒时，毒霸会同时发现更多木马。

　　解决此病毒，要注意两点：

　　1.局域网的用户安装ARP防火墙，避免因ARP攻击强行下载木马

　　2.如果排除前一个情况，仍不断发现此病毒，就需要检查并清除木马下载器了。具体方案，请看本贴末尾的方案。

　　6.Win32.PSWTroj.OnlineGames.2640

　　07.07.25的版本即可解决此病毒，老病毒复生，与下载器有很大关系

7.Win32.Troj.XYOnlineT.xk.83800

　　升级到07.12.27版本即可查杀该病毒，该病毒在上周位列上升最快的病毒排行第三名，本周该病毒仍然猖獗。

　　该病毒同样是木马下载器的杰作，查毒日志类似于：

　　引用:

　　病毒 2008-01-05 01:45:43 C:\Windows\Fonts\wsmsfax.exe Win32.Troj.XYOnlineT.xk.83800 清除成功

　　\QVERGDCP\sms4s[1].exe Win32.Troj.XYOnlineT.xk.83800 清除成功

　　病毒 1985-01-01 06:18:56 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CFJZ601H\sms2s[1].exe Win32.Troj.XYOnlineT.xk.83800 清除成功

　　病毒 1985-01-01 06:06:28 c:\Windows\system32\xia11.exe Win32.PSWTroj.Delf.90192 清除成功

　　病毒 1985-01-01 06:06:28 c:\Windows\system32\wxptdi.sys Worm.Downloader.dn.77824 清除成功

　　病毒 1985-01-01 06:06:26 c:\Windows\system32\wszjdax.exe Win32.Troj.AgentT.fm.14452 清除成功

　　病毒 1985-01-01 06:05:58 c:\Windows\system32\okmhdaz.exe Win32.Troj.AgentT.fm.14452 清除成功

　　病毒 1985-01-01 06:05:14 c:\Windows\system32\avzxmst.exe Win32.Troj.XYOnlineT.xk.83800 清除成功

　　病毒 1985-01-01 06:05:14 c:\Windows\system32\avwghst.exe Win32.Troj.XYOnlineT.xk.83800 清除成功

　　8.Win32.Troj.OnlineGamesT.ms.69632

　　升级到08.01.10的版本可查杀该病毒，目前尚未搜索到该病毒更多的信息，从分类看，仍是盗号木马家族的成员。

　　9.Win32.Troj.OnlineGames.mz.31744

　　升级到08.01.21版本可查杀该病毒，尚未搜索到该病毒更多的信息。

　　10.Win32.Troj.OnlineGamesT.sm.90112

　　升级到08.01.10版本可查杀该病毒，病毒入侵后，会在%system32%和%temp%下生成病毒文件。

　　查毒日志类似于

　　引用:

　　病毒 2008-01-20 00:24:57 病毒在文件C:\Windows\system32\LYLOADER.EXE中 Win32.Troj.OnlineGamesT.sm.90112 处理成功(操作：删除)

　　病毒 2008-01-20 00:24:57 病毒在文件C:\Documents and Settings\雪\Local Settings\Temp\MSDEG32.DLL中 Win32.Troj.OnlineGamesT.ty.135168 处理成功(操作：删除)

　　病毒 2008-01-20 00:24:57 病毒在文件C:\Documents and Settings\雪\Local Settings\Temp\LYLOADER.EXE中 Win32.Troj.OnlineGamesT.sm.90112 处理成功(操作：删除)

　　综述

　　近期上升最快的10大病毒，全部是盗号木马，并且这些病毒变种仍在不断出现。值得注意的是，破坏explorer.exe的病毒会造成系统不能正常登录。杀完毒之后，需要从dllcache目录下copy explorer.exe的备份到%system%以修复系统。

　　这些盗号木马很少是单个入侵的，木马下载器得到了更广泛的应用，中毒电脑往往会发现若干个病毒木马被发现。

　　解决方案

　　1.局域网的用户要注意ARP攻击强行下载盗号木马，可以通过安装ARP防火墙来防范

　　2.对于木马下载器，本身可以升级更新，下载的木马可以定向投放，也一样可以随时更新。不能保证杀毒软件可以查杀该下载器相关的所有病毒木马，建议用户将例如ICEWORD，Atool等工具集合反病毒软件一同使用，基本可以分辨出几乎所有病毒木马。　

　　3.部分病毒或木马破坏了系统文件，目前发现多例病毒会破坏userinit.exe和explorer.exe，这两个关键的系统文件被破坏会导致 Windows登录故障。但都可以从%system32%\dllcache中恢复，只需要从这里把备份的同名文件COPY到%system32%目录就可以了。

欢迎光临 SiS001! Board - [第一会所关闭注册] (http://154.84.5.214/luntan/)