魔獸賊和複製先生變種

江民7.2病毒播報

江民今日提醒您注意：在今天的病毒中Trojan/PSW.WOW.ahc“魔獸賊”變種ahc和Packed.Klone.bdu“複製先生”變種bdu值得關注。

英文名稱：Trojan/PSW.WOW.ahc

中文名稱：“魔獸賊”變種ahc

病毒長度：57344位元組

病毒類型：盜號木馬

危險層級：★★

影響平台：Win 9X/ME/NT/2000/XP/2003

MD5 校正：6b4b6b5f912dade13843eac3d6c3ce78

特徵描述：

Trojan/PSW.WOW.ahc“魔獸賊”變種ahc是“魔獸賊”盜號木馬家族中的最新成員之一，採用“Microsoft Visual C++ 6.0”編寫。“魔獸賊”變種ahc運行後，會自我複製到被感染系統的“C:\Program Files\ThunMail\”目錄下，重新命名為“testabd.exe”。還會在相同目錄下釋放惡意DLL組件“testabd.dll”，並將上述檔案及檔案夾的屬性設定為“系統、唯讀、隱藏”。“魔獸賊”變種ahc是一個專門盜取“魔獸世界”網路遊戲會員帳號的木馬程式，通常會被插入到指定的進程中隱秘運行。該木馬會通過訊息鉤子、記憶體截取等技術盜取網路遊戲玩家的遊戲帳號、遊戲密碼、所在區服、角色等級、金錢數量、倉庫密碼等資訊，並在後台將竊取到的這些機密資訊發送到駭客指定的URL“http://www.wow*nwowgold.com/wow/wow.asp”上（地址加密存放），致使網路遊戲玩家的遊戲帳號、裝備、物品、金錢等丟失，給遊戲玩家造成了不同程度的損失。“魔獸賊”變種ahc還會竊取使用者的“msn”、“Google”、“雅虎”的帳號密碼，並發送到駭客指定的伺服器上，從而給使用者造成了不同程度的虛擬財產損失。“魔獸賊”變種ahc在安裝完畢後會將自身刪除，以此達到了消除痕迹的目的。另外，其會通過在被感染系統註冊表啟動項中添加索引值“svc”以及修改“AppInit_DLLs”索引值的方式實現木馬的開機自啟。

英文名稱：Packed.Klone.bdu

中文名稱：“複製先生”變種bdu

病毒長度：397312位元組

病毒類型：木馬

危險層級：★★

影響平台：Win 9X/ME/NT/2000/XP/2003

MD5 校正：d0c5ad3d08208d81c57d834219515c98

特徵描述：

Packed.Klone.bdu“複製先生”變種bdu是“複製先生”木馬家族中的最新成員之一，採用進階語言編寫，並且經過加殼保護處理。“複製先生”變種bdu運行後，會自我複製到被感染系統的“%SystemRoot%\360tray\”目錄下，重新命名為“360tray.exe”（檔案屬性為“系統、隱藏、唯讀”）。不斷嘗試與控制端（地址為：a370240832.gi*p.net:8000）進行串連，如果串連成功，則被感染的電腦就會淪為傀儡主機。駭客可以向被感染的電腦發送惡意指令，從而執行任意控制操作（控制操作包括但不限於：檔案管理、進程式控制制、註冊表操作、服務管理、遠程命令執行、螢幕監控、鍵盤監聽、滑鼠控制、音頻監控、視頻監控等），給使用者的個人隱私甚至是商業機密造成不同程度的侵害。同時，駭客還可以向傀儡主機發送大量的惡意程式，從而對使用者的資訊安全構成更加嚴重的威脅。另外，“複製先生”變種bdu會在被感染系統中註冊名為“360tray.exe”的系統服務，以此實現木馬的開機自動運行。