04.07病毒预警：“QQ自动关闭盗号者”盗窃QQ密码

　　“QQ自动关闭盗号者73216”（Win32.Troj.QQPassT.ex..73216），该程序是一个QQ盗号木马。它主要利用网页挂马、文件捆绑等方式传播，通过读写其内存获取账号和密码，然后以网络收信空间的方式发送给病毒作者。

　　“木马下载器43801”（Win32.TrojDownloader.Agent.fi.43801），这是一个下载器程序。它运行后，添加到系统服务并设置为开机自动运行，在后台开启单独的线程从网络下载大量其他的木马和病毒等，是一个典型的木马病毒下载器。

　　一、“QQ自动关闭盗号者73216”（Win32.Troj.QQPassT.ex..73216） 威胁级别：★

　　针对即时聊天软件的盗号木马依然没完没了，在周末侦测到的新生木马中，这类恶意程序所占比例仅次于网游盗号木马。

　　这个盗号木马利用强迫用户重新登录的方式来获取QQ密码。它在进入电脑后，释放病毒文件qqmmck.vxd和vercls.exe到%WINDOWS%system32文件夹下，并修改注册表，让自己可以随系统启动而自动运行。

　　只要顺利实现自动运行，木马就会注入桌面进程explorer.exe，通过远程线程激活病毒代码，进行代码注入。它在所有已启动的程序中寻找QQ的进程，将其关闭，迫使用户不得不重新登录。

　　当QQ重启后，病毒会查找QQ登陆窗口，通过读写内存的方式获取用户输入的账号和密码，以网络收信空间的方式发送给病毒作者，造成用户QQ号丢失。如果在正常使用QQ等即时聊天工具的情况下发现QQ自动关闭，很有可能就是中了此毒，请勿立即登录，而应该使用毒霸或清理专家这样的安全辅助工具对系统进行清扫。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-troj-qqpasst-ex-73216-50515.html

　　二、“木马下载器43801”（Win32.TrojDownloader.Agent.fi.43801） 威胁级别：★

　　这个病毒是一个典型的木马下载器，它如果能够顺利地运行起来，就会在电脑系统的后台开启单独的线程，从网络下载大量的其它木马。经毒霸反病毒工程师的分析，它下载的木马，大部分为网游盗号程序，很明显，它也是病毒黑色产业链中的一份子。

　　病毒进入用户电脑后，在系统盘的%WINDOWS%system32目录下释放出病毒文件CbEvtSvc.exe。并立即将它的相关数据写入系统注册表，以实现自启动。需提及的时，在完成对注册表篡改的过程中，该病毒会将自己伪装成ImagePath（图像路径）的相关模块，试图迷惑用户。

　　对注册表操作熟悉的用户，在检查该病毒属性时可发现，病毒启动项虽然名为ImagePath，指向却依旧是“%SystemRoot%System32CbEvtSvc.exe -k netsvcs”，这就是它的狐狸尾巴。一旦它得以顺利运行，就会从2**.101.*9.82这个由病毒作者指定的地址下载大量盗号木马，引起无法估计的破坏。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-trojdownloader-agent-fi-43801-50516.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月7的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。