江民5.20病毒播报：U盘寄生虫和寻仙贼变种

核心提示：江民今日提醒您注意：在今天的病毒中Worm/AutoRun.hby“U盘寄生虫”变种hby和Trojan/PSW.Xunxian.b“寻仙贼”变种b值得关注，英文名称：Worm/AutoRun.hby中文名称：“U盘寄生虫”变种hby病毒长度：17640字节病毒类型：蠕虫危险级别：★★影响平台：Win 9X/ME/NT

江民今日提醒您注意：在今天的病毒中Worm/AutoRun.hby“U盘寄生虫”变种hby和Trojan/PSW.Xunxian.b“寻仙贼”变种b值得关注。

英文名称：Worm/AutoRun.hby
　　中文名称：“U盘寄生虫”变种hby
　　病毒长度：17640字节
　　病毒类型：蠕虫
　　危险级别：★★
　　影响平台：Win 9X/ME/NT/2000/XP/2003
　　md5 校验：128aef879909a226b07c4fe6b6a711c2
　　特征描述：
　　Worm/AutoRun.hby“U盘寄生虫”变种hby是“U盘寄生虫”蠕虫家族中的最新成员之一，采用“Microsoft Visual C++ 6.0”编写，并且经过加壳保护处理。“U盘寄生虫”变种hby运行后，会在被感染计算机系统中创建具有“系统、隐藏”属性的目录“C:\WINDOWS\ini”，并通过设置“desktop.ini”文件的方式将该文件夹伪装成“回收站”样式，增强了伪装性。自我复制到该目录下，重新命名为“ini.exe”。同时还会在该目录下释放恶意脚本“shit.vbs”和DLL组件“wsock32.dll”（用以对蠕虫的网络功能提供支持）。在被感染计算机的后台遍历当前系统中所有正在运行的进程，一旦发现指定的安全软件存在，便会尝试将其结束。在后台秘密监视所有正在运行程序的窗口标题，一旦发现标题中存在与安全相关的字符串（如“监控”、“举报”、“离线升级包”等等）便会尝试将其关闭，从而达到了自我保护的目的。监视“IceSWord”窗口，一旦发现便通过键盘模拟操作的方式将其退出运行，从而增加了用户通过常用系统工具对病毒进行手工处理的难度。修改“hosts”文件，利用域名劫持技术致使用户无法访问指定的安全类网站以及干扰了安全软件的正常升级。“U盘寄生虫”变种hby会监视被感染系统中新插入的移动存储设备，如发现有新的移动存储设备接入时，便会在其根目录下创建“autorun.inf”（自动播放配置文件）和蠕虫主程序文件“\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe”，以此实现双击盘符后激活蠕虫，从而达到了利用U盘、移动硬盘、SD卡等移动存储设备进行自我传播的目的，给被感染计算机用户造成了更加严重的威胁。“U盘寄生虫”变种hby还会通过其自带的弱口令列表对被感染计算机的网上邻居进行探测，并利用默认共享连接进行自我传播。同时通过远程建立计划任务的方式使得这些计算机上的蠕虫得以自动运行。“U盘寄生虫”变种hby还会对被感染计算机上的“rar”、“zip”、“tgz”、“cab”、“tar”扩展名的文件进行感染，将命名为“安装.bat”的蠕虫副本添加到这些文件中并对其重新压缩打包。“U盘寄生虫”变种hby还可以在扩展名为“html”、“htm”、“asp”、“aspx”、“php”、“jsp”的文件中插入恶意代码，从而使得该蠕虫可以通过网页进行传播。此外，“U盘寄生虫”变种hby还会删除扩展名为“.GHO”的磁盘镜像备份文件，并且会在被感染系统的后台连接骇客指定的远程站点，下载恶意程序并自动调用运行，从而给用户造成不同程度的损失。“U盘寄生虫”变种hby会在系统注册表启动项中添加键值以及在“开始”菜单启动项中添加项目等多种方式来实现蠕虫的开机自动运行。

英文名称：Trojan/PSW.Xunxian.b
　　中文名称：“寻仙贼”变种b
　　病毒长度：14896字节
　　病毒类型：木马
　　危险级别：★
　　影响平台：Win 9X/ME/NT/2000/XP/2003
　　MD5 校验：caec3f18d96ad87be5e221fffc6f4282
　　特征描述：
　　Trojan/PSW.Xunxian.b“寻仙贼”变种b是“寻仙贼”木马家族中的最新成员之一，采用“Microsoft Visual C++ 6.0”编写，是一个由其它恶意程序释放出来的DLL功能组件。“寻仙贼”变种b通常会被插入到“explorer.exe”等几乎所有的进程中加载运行，并在后台执行恶意操作，以此隐藏自我，防止被轻易地查杀。“寻仙贼”变种b是一个专门盗取“QQ寻仙”网络游戏会员账号的木马程序，运行后会首先确认自身是否已经被插入到指定的进程中。一旦插入成功，便会通过钩子和内存截取技术窃取网络游戏玩家的游戏账号、游戏密码等信息，从“%USERPROFILE%\Local Settings\Temp\”目录下的木马文件“xunxianqq.dll”中读取加密的地址信息，并在后台将窃取到的这些机密信息发送到骇客指定的远程服务器站点“http://4470286*.cn/”和“http://vvv.q*chisi.cn/”上，致使网络游戏玩家的游戏账号、装备、物品、金钱等丢失，给游戏玩家造成了不同程度的损失。