強盜和野兔變種病毒

江民7.24病毒播報

江民今日提醒您注意：在今天的病毒中Trojan/Hijacker.gx“強盜”變種gx和Trojan/Rabbit.bw“野兔”變種bw值得關注。

英文名稱：Trojan/Hijacker.gx

中文名稱：“強盜”變種gx

病毒長度：13907位元組

病毒類型：木馬

危險層級：★★

影響平台：Win 9X/ME/NT/2000/XP/2003

MD5 校正：1845c496742deb96b8d828b0b6413468

特徵描述：

Trojan/Hijacker.gx“強盜”變種gx是“強盜”木馬家族中的最新成員之一，採用“Microsoft Visual C++ 6.0”編寫，是一個由其它惡意程式釋放出來的DLL功能組件。“強盜”變種gx運行後，會在被感染系統的“%SystemRoot%\fonts\”目錄下讀取儲存著加密收信地址的設定檔“FNtQWUcnn5DW4Etk.Ttf”。遍曆當前系統中所有正在啟動並執行進程，一旦發現指定的安全軟體存在便會嘗試將其結束，從而達到了自我保護的目的。“強盜”變種gx是一個專門盜取“諸侯Online”網路遊戲會員帳號的木馬程式，運行後會首先確認自身是否已經被插入到案頭進程“explorer.exe”中，並且通過安裝訊息鉤子等方式監視系統狀態，伺機進行惡意操作。插入指定的遊戲進程“gc_zh.exe”，利用訊息鉤子、記憶體截取等技術盜取網路遊戲玩家的遊戲帳號、遊戲密碼、所在區服、角色等級等資訊，並在後台將竊得的資訊發送到駭客指定的URL“http://www.ht*79.cn/fenhm2/mangfu/post.asp”上（地址加密存放），致使網路遊戲玩家的遊戲帳號、裝備、物品、金錢等丟失，給遊戲玩家造成了不同程度的損失。另外，“強盜”變種gx會修改註冊表鍵“ShellExecuteHooks”的索引值，以此實現開機後的自動運行。

英文名稱：Trojan/Rabbit.bw

中文名稱：“野兔”變種bw

病毒長度：21144位元組

病毒類型：木馬

危險層級：★★

影響平台：Win 9X/ME/NT/2000/XP/2003

MD5 校正：dba39018ce485ca2d682d94615da6e1d

特徵描述：

Trojan/Rabbit.bw“野兔”變種bw是“野兔”木馬家族中的最新成員之一，採用進階語言編寫，並且經過加殼保護處理。“野兔”變種bw運行後，會自我複製到被感染系統的“C:\Documents_and_Settings\Administrator”目錄下，重新命名為“Administrator.exe”。同時，還會在臨時檔案夾以及“%SystemRoot%\system32\drivers\”下釋放惡意程式“BN*.TMP”和惡意驅動程式“securentm.sys”。該木馬會將惡意代碼注入到新建立的“svchost.exe”進程中隱秘運行，從而防止被輕易地查殺。利用Rootkit技術隱藏木馬的檔案、登錄機碼、進程等相關內容，增加了隱蔽性，從而提高了自身的生存幾率。在後台串連駭客指定的伺服器“69.64.*.194”、“75.125.*.202”等，下載其它的惡意程式，或者進行資訊的接收和發送等惡意行為，由此可能造成使用者私密資訊的泄露，從而帶來更大的風險。另外，“野兔”變種bw會通過在被感染系統註冊表啟動項中添加索引值“Administrator”的方式實現木馬的開機自啟。