网络红娘竟是木马 感染绑匪盯紧exe程序

中国IT实验室12月27日消息：记者近日从金山方面获悉，一种名为“网络红娘”的变种木马正在高速传播。最近许多木马针对杀毒软件都做了伪装防护，如果发现杀毒软件莫名退出，需要提高警惕。

“网络红娘变种398413”（Win32.Troj.RedGirlT.ly.398413），这是一个远程控制木马病毒。该病毒会在本地创建客户端，向远程服务端传送本地计算机的情况，以便黑客能伺机盗取有用的信息。

“感染绑匪24576”（Win32.msmig.a.24576），这是一个感染型病毒。它能感染非系统盘中全部的可执行文件，同时会对被感染的文件进行类似“绑架”的处理，以增加用户进行修复难度，十分讨厌。

“网络红娘变种398413”（Win32.Troj.RedGirlT.ly.398413） 威胁级别：★★

病毒成功进入用户的电脑系统系统后，会将两个病毒文件释放到系统盘的%WINDOWS%\system32\目录下，分别为wiengdws.exe和wiengdws.dat。随后，它修改注册表，建立一个让用户无法在服务控制台中查到的隐藏服务wiengdws，使自己可以在系统启动后自动运行。

如果病毒可以顺利启动，它就在一段很短的时间内修改系统时间，使用户电脑中依赖系统时间进行激活与升级的软件全部失效，这其中就包括了卡巴斯基等杀毒软件。同时，病毒还会监视卡巴斯基和微点等杀毒软件，如发现它们试图弹出警告窗口向用户报告系统异常，就会模拟用户鼠标操作，点击消息的允许选项，允许病毒的操作。

此病毒在电脑里干的坏事，主要是记录用户系统中的键盘和鼠标动作，并向黑客控制端发送这些记录。同时，黑客控制端也可借由此病毒建立的远程连接，向用户的电脑发送大量非法指令，比如捕捉视频、音频、图像等多媒体数据，创建、读取、删除、修改文件和服务，以及获得当前进程和模块列表等操作。总之，只要是用户能进行的操作，黑客都能“取而代之”，这就给用户的系统安全和个人隐私，甚至商业机密造成严重威胁。

“感染绑匪24576”（Win32.msmig.a.24576） 威胁级别：★

病毒进入系统后，直接在系统盘根目录%Windows%下释放出病毒文件IMSCMIG.EXE和_mscmig.exe，然后修改注册表，将自己添加到注册表启动项，使自己以后都能随着系统启动而自动运行起来。

如果重启成功，病毒就会立即发作。它会感染所有非系统盘中的exe可执行文件，将自己附加在文件末尾。如果用户检查被感染文件的属性，会发现它们的体积较之前有所增大，而一旦这些受到感染的文件病毒被运行，病毒也将再次被激活。

这个病毒令人气愤之处在于，它感染文件时，会替换原文件的引入表等关键数据结构，等病毒运行后再动态将其修复，这就无异于“绑架”。若用户未修复该结构就直接删除病毒，将导致文件损坏，给正常工作造成麻烦。不过，毒霸可对其进行修复。