04.04病毒预警：“网页漏斗”下载多种病毒

　　“网页漏斗3793”（JS.MSExploit.dc.3793），这是一个利用 Microsoft IE 畸形VML文档处理的缓冲区溢出漏洞进行恶意下载的脚本病毒。它是一个下载器，如果溢出成功将会从病毒作者指定的地址下载其它病毒程序执行。

　　“QQ注入式盗号者16422”（Win32.Troj.OnlineGames.wm.16422），该病毒是针对QQ聊天工具的一个盗号木马。该病毒运行后会衍生病毒文件至系统目录下，修改注册表增加启动项，注入进程，盗取QQ帐号。

　　一、“网页漏斗3793”（JS.MSExploit.dc.3793） 威胁级别：★★

　　我们现在浏览的网页，是由专门的计算机语言写成，比如VML语言和HTML等，如果这些网页中含有错误，IE浏览器在阅读它们时就可能发生溢出。而所谓溢出，指的是软件处理数据的流量超过了软件本身缓冲区所能承受的量，就好比水从池子里漫出来一样。一旦发生溢出，就会给系统的安全构成威胁。

　　昨日毒霸反病毒工程师处理的病毒中，就有这样一个利用IE溢出漏洞作案的病毒。该病毒利用微软IE 畸形VML文档处理的缓冲区溢出漏洞进行恶意下载。病毒本身是一个脚本文件，通过网页挂马等方式进行传播。如果用户 IE 浏览器的畸形VML文档处理缓冲区溢出漏洞没有修复，在浏览到含毒网页时，就会被病毒侵入。

　　病毒在用户电脑里运行起来后，将会执行病毒作者在脚本文件中精心构造的数据，从病毒作者指定的地址下载其它病毒文件到电脑系统盘的%WINDOWS%system32目录中运行。根据病毒生成器的参数不同，下载地址也会不同，所下载的病毒文件名称和功能也多种多样，可能是盗号木马，也可能是黑客控制程序，但无论是哪种，最终的结果都是给用户造成损失。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/js-msexploit-dc-3793-50509.html

　　二、“QQ注入式盗号者16422”（Win32.Troj.OnlineGames.wm.16422） 威胁级别：★★

　　这是一个盗取QQ即时聊天工具帐号和密码的木马程序。它通过注入程序后，非法读取进程内存的方式盗取QQ号码。

　　病毒进入电脑系统后，释放出两个病毒文件，分别为%WINDOWS%目录下的PTSShell.exe和%WINDOWS%system32目录下的PTSShell.dll。其中PTSShell.exe是病毒主文件，它的相关数据会被写入系统注册表启动项，以实现自动启动，而PTSShell.dll则被用来注入系统桌面进程Explorer.exe，搜寻电脑中是否有正在运行的QQ或QQ游戏进程。如果找到，就注入其中，通过读取内存盗取用户的账号信息，并将用户的Q币金额、等级相关的信息，连同账号密码一并发送到木马种植者的邮箱中。

　　此外，该病毒具有自动删除的功能，当运行完毕后，它就会删除自己的原始文件，让用户不易发现它。

　　应该说，这是一个盗号原理很简单的病毒，也不具备什么技术型，但因为近期以来，它的相关变种较多，因此提醒大家注意。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-troj-onlinegames-wm-16422-50510.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年4月4的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。