金山2.22病毒播报:大话西游II盗号者破坏杀软运行

　　“武林盗贼37008”（Win32.Troj.OnlineGamesT.nr.37008），这是一个盗号木马。木马通过创建系统服务实现开机启动，结束360安全卫士相关进程和“killer_Gdwli32.exe”专杀工具进程，然后盗取网络游戏《武林外传》的帐号信息，并发送给木马种植者。

　　“大话西游II盗号者45260”（Win32.Troj.QQPass.df.45260），这是一个用vc编写的木马程序。病毒运行后会查找并破坏系统中金山毒霸、江民、瑞星等杀毒软件的正常运行。然后通过监视窗口字符串的方式盗窃“网易通行证”和《大话西游 II》的密码，并使用SMTP协议发送至木马种植者安排好的邮箱。

　　一、“武林盗贼37008”（Win32.Troj.OnlineGamesT.nr.37008） 威胁级别：★

　　病毒顺利进到用户的电脑系统中后，会释放出三个病毒文件，分别为%windows%system32目录下的niluw.cfg和niluw.dll，以及%windows%system32drivers目录下的msacpe.sys，并修改系统注册表中的相关数据，实现自己的开机自启动。

　　当成功运行起来，病毒就抢先查找安全辅助软件360安全卫士和“killer_Gdwli32.exe专杀器”的进程，并将其强行关闭，以便于自己随后开展的盗号行为。

　　接着，病毒查找网络游戏《武林外传》的游戏进程，强行关闭它，迫使用户重新登陆。这样一来，病毒就可以将之前生成的niluw.dll文件注入其中，通过键盘记录的方式获得用户的帐号密码等信息。

　　如得手，病毒就在用户无法察觉的情况下连接木马作者指定的远程服务器，将偷得的信息发送出去，给用户造成虚拟财产的损失。

　　二、“大话西游II盗号者45260”（Win32.Troj.QQPass.df.45260） 威胁级别：★★

　　病毒进入用户系统后，释放出三个病毒文件，分别为%WINDOWS%system32目录下的rasatkyeyt.dll和rasatkyeyt.exe，以及%WINDOWS%Temp目录下的temp~3。其中，ravysigilyn.exe是病毒的主程序，病毒会将该文件的数据写入系统注册表启动项，使自己能随系统启动而运行起来。

　　为避免被杀毒软件查杀，该病毒运行后会迅速查找并关闭金山毒霸、江民、瑞星等主流杀毒软件的进程。其中，对于瑞星的破坏是采取直接删除其核心文件的方式。

　　接下来，病毒查找当前打开的工作窗口，判断窗口字符串是否包含“大话西游II”、“WSWINDOW”或“网易通行证”等字样。如果存在，则通过键盘记录的方式，盗取用户的网易通行证、“大话西游 II”仓库密码等敏感信息。

　　得手后，病毒利用电脑系统中的SMTP邮件协议无需验证的特点，悄悄地建立远程连接，将赃物发送至c**anh**sq@163.com这个由木马种植者指定的邮箱，给用户造成虚拟财产的损失。

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年2月22的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。