泡泡每日病毒预警:恶意木马占据主流

    编者按：从现在开始我们将会定期为大家汇总各个安全厂商的每周病毒播报，并将会在内容丰富度以及文章及时性上更下功夫，争取真正的能为所有的用户提供安全帮助，让大家能够面对电脑病毒时尽量做到防患于未然，下面就是我们这一期的汇总内容。

金山提示：

    “桌面潜伏下载者95744”（Win32.RiskWare.AgentT.n.95744），这是一个木马下载器程序。它会修改系统桌面文件explorer.exe，将自己隐藏在里面运行。同时它还具备自我更新和自我删除的功能。“PPStream漏洞下载器9078”（JS.Downloader.gb.9078），这是一个下载器程序。它是一个脚本病毒，会利用PPStream（PPS网络电视）的漏洞进行下载活动。

一、“桌面潜伏下载者95744”（Win32.RiskWare.AgentT.n.95744）
     威胁级别：★

    与大部分在AV终结者之后诞生的下载器一样，毒霸反病毒工程师此次捕获的这个病毒下载器也具有一定的对抗安全软件能力。它进入系统后，立即检测进程列表是否存在“贝壳磁盘保护系统”的进程BKPCLIENT.EXE和MENU.EXE，若有则将它们强行结束。

    接着，病毒复制%WINDOWS%目录下的系统桌面进程文件explorer.exe到%WINDOWS%\\System32\\目录下，并往原始的explorer.exe里写入自己的病毒代码，再将其复制到%WINDOWS%目录下，更名为svchost.exe。

    完成以上步骤后，病毒就启动这个svchost.exe文件，利用它来调用正常的explorer.exe，实现隐蔽的运行。如果成功运行起来，它就能够连接病毒作者指定的地址，下载病毒文件列表，再根据列表里的地址去下载更多其它病毒文件运行，引发更大的破坏。

    同时，该病毒具有自我更新和自我删除的功能，它会自动下载更新配置文件，并在运行完成后删除自己的原始文件，以免用户发现电脑中出现多余的东西。关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-riskware-agentt-n-95744-50587.html

二、“PPStream漏洞下载器9078”（JS.Downloader.gb.9078）
    威胁级别：★

    利用第三方软件的漏洞进行病毒下载，要比直接对抗安全软件来得容易。因此，有相当数量的病毒下载器是针对第三方软件制作的。此篇预警播报中的病毒，利用的是PPStream（PPS网络电视）的漏洞。它利用网页挂马、捆绑视频文件的方法混进用户电脑，然后查看用户安装的PPStream中，是否含有2.0.1.3829版本的PowerPlayer.dll文件。如果确定是该版本，病毒就会制造溢出事件。

    所谓溢出，简单来说，就是指某类数据流量超过系统中负责处理该类数据的空间所能存储的容量，就好像水从池子中漫出一样，扩散到了其它区域。这样一来，就会引起系统异常，如果病毒在溢出数据中做了手脚，那么就能够趁机执行这些操作。

    这个病毒在制造溢出事件后，就能够悄悄连接http://exe.x****ankl.com/这个由病毒作者指定的远程地址，下载其它病毒到用户电脑中运行，引起无法估计的更大损失。关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/js-downloader-gb-9078-50588.html

江民提示：

    江民今日提醒您注意：在今天的病毒中Win32/Otwycal.d“沃忒客”变种d和RootKit.ArpDriver.b“ARP杀手”变种b值得关注。

病毒名称：Win32/Otwycal.d
中 文 名：“沃忒客”变种d
病毒长度：907341字节
病毒类型：蠕虫
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003

    Win32/Otwycal.d“沃忒客”变种d是“沃忒客”蠕虫家族的成员之一，采用高级语言编写，并经过加壳保护处理，文件图标伪装成RAR自解压软 件的图标。“沃忒客”变种d运行后，在被感染计算机系统“%SystemRoot%\\system32\\”目录释放一个恶意程序“windows.ext”。感染系统文件“spoolsv.exe”，向其写入可执行代码，实现“沃忒客”变种d开机自启。在被感染计算机系统的根目录下释放一个恶意驱动文件“zzz.sys ”。删除被感染计算机系统中的“QQDoctorMain.exe”和“QQDoctor.exe”（QQ医生程序文件），达到自我保护的目的。关闭某些安全软件，防止被查杀。

    在被感染计算机系统的后台调用IE浏览器进程，利用系统IE进程连接骇客指定远程服务器站点 “http://www.*zfw*.c*/Config.txt”，获取其它恶意程序的下载地址列表，然后下载列表中的所有恶意程序，并自动调用安装运行。其中， 所下载的恶意程序可能包含网游木马、恶意广告程序、后门等，给用户带来不同程度的损失。在所有盘符根目录下创建“autorun.inf”文件和 蠕虫主程序文件，达到双击盘符启动“沃忒客”变种d运行的目的，具有利用U盘、移动硬盘等存储设备进行自我传播的功能。另外，“沃忒客 ”变种d在运行时，可能会在后台感染用户计算机系统中的EXE可执行文件和网页文件等。

病毒名称：RootKit.ArpDriver.b
中 文 名：“ARP杀手”变种b
病毒长度：6144字节
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003

    RootKit.ArpDriver.b“ARP杀手”变种b是“ARP杀手”木马家族的最新成员之一，该木马是一个恶意的磁盘过滤驱动程序，采用C语言编写，一 般以系统服务的方式来运行。当“ARP杀手”变种b被安装启动后，病毒主程序会利用“ARP杀手”变种b去破坏被感染计算机磁盘中的系统文件 ，绕过“还原保护系统”，破坏被感染计算机真实磁盘中系统文件的功能，使用户防不胜防。

    “ARP杀手”变种b属于恶意程序集合中的一个功 能模块，伴随着该木马程序模块还会有很多其它恶意程序模块一起安装到了被感染计算机的系统中。一旦用户计算机感染了该类病毒，那么很 难彻底清除干净，给被感染计算机系统的用户带来不同程度的损失。