江民7.17病毒播报：牧童和焦点间谍变种病毒

核心提示：江民今日提醒您注意：在今天的病毒中TrojanDropper.Mudrop.vb“牧童”变种vb和TrojanSpy.Pophot.czb“焦点间谍”变种czb值得关注，英文名称：TrojanDropper.Mudrop.vb中文名称：“牧童”变种vb病毒长度：26534字节病毒类型：木马释放器危险级别：★★影响平台：

江民今日提醒您注意：在今天的病毒中TrojanDropper.Mudrop.vb“牧童”变种vb和TrojanSpy.Pophot.czb“焦点间谍”变种czb值得关注。

英文名称：TrojanDropper.Mudrop.vb
　　中文名称：“牧童”变种vb
　　病毒长度：26534字节
　　病毒类型：木马释放器
　　危险级别：★★
　　影响平台：Win 9X/ME/NT/2000/XP/2003
　　md5 校验：27faf6213ad840da56915df2de26854b
　　特征描述：
　　TrojanDropper.Mudrop.vb“牧童”变种vb是“牧童”木马释放器家族中的最新成员之一，采用高级语言编写，并且经过加壳保护处理。“牧童”变种vb运行后，会在被感染系统的“%SystemRoot%\system32\”目录下释放恶意DLL组件“func.dll”，在“%SystemRoot%\”目录下释放恶意DLL组件“phpi.dll”，在“%SystemRoot%\system32\drivers\”目录下释放恶意驱动程序“pcidump.sys”和“acpiec.sys”。利用释放的恶意驱动程序“acpiec.sys”关闭安全软件的自保护功能，从而关闭大量的安全软件、系统工具、应用程序的进程或相关系统服务等，致使计算机系统失去安全软件的防护。修改hosts文件，通过域名映像劫持，屏蔽大量的安全类站点，使得用户无法通过这些站点获取木马清理、系统维护等方面的信息。感染所有磁盘分区中的“.html”和“.htm”文件，通过向其尾部添加恶意代码的方式实施网页挂马。感染“C:\”以外分区上的除“QQ.exe”和“360safe.exe”以外的“.exe”文件，致使文件遭受感染或因此遭到破坏。被感染的文件运行后，会在后台下载指定的恶意程序“http://6*6rara.com/web/xp.exe”并调用运行。“牧童”变种vb还会在被感染系统的后台连接骇客指定的站点，获取恶意程序下载列表“http://x3r*.com/360/v1.txt”，下载指定的恶意程序并调用运行。这些恶意程序可能为网络游戏盗号木马、远程控制木马或恶意广告程序（流氓软件）等，致使用户面临更多的威胁。“牧童”变种vb会用自身替换桌面程序“explorer.exe”，从而实现了开机自启动。同时，其会将“%SystemRoot%\system32\drivers\gm.dls”的代码用原“explorer.exe”的代码替换，并且再将其复制到“%SystemRoot%\TEMP”下，重新命名为“explorer.exe”。通过调用该文件，用户开机时能够正常显示桌面，从而减少了系统感染病毒后所表现的异常，增强了自身的隐蔽性。在替换系统文件的过程中，“牧童”变种vb还会隐藏“Windows文件保护”提示窗口，从而增加了自身的隐蔽性。“牧童”变种vb可通过“MS08-067”漏洞以及自动播放功能进行传播。其会在被感染计算机的系统盘根目录下创建“autorun.inf”（自动播放配置文件）和木马主程序文件“1.exe”（“牧童”变种vb），文件属性设置为“系统、隐藏、只读”，以此实现双击盘符后激活木马的目的，给计算机用户造成了更多的威胁。同时，还会利用“MS08-067”漏洞对指定的大量ip地址进行溢出攻击。如果被扫描的计算机存在该漏洞，则会被其攻破并执行病毒下载等恶意行为。

英文名称：TrojanSpy.Pophot.czb
　　中文名称：“焦点间谍”变种czb
　　病毒长度：128195字节
　　病毒类型：间谍木马
　　危险级别：★★
　　影响平台：Win 9X/ME/NT/2000/XP/2003
　　MD5 校验：816924598f2d38965937015803c5129e
　　特征描述：
　　TrojanSpy.Pophot.czb“焦点间谍”变种czb是“焦点间谍”家族中的最新成员之一，采用“Borland Delphi 6.0 - 7.0”编写，并且经过加壳保护处理。“焦点间谍”变种czb运行后，会自我复制到被感染系统的“%SystemRoot%\system\”和“%SystemRoot%\system32\inf”目录下，并分别命名为“sgcxcxxaspf090522.exe”和“sppdcrs090522.scr”。同时，还会在“%SystemRoot%\”目录下释放恶意DLL组件“dcbdcatys32_090522a.dll”和“wftadfi16_090522a.dll”。“焦点间谍”变种czb运行时，会遍历被感染系统中运行的所有进程。一旦发现指定的安全软件存在，便会尝试通过强行篡改系统日期、调用批处理指令等方式试图将其结束。还会通过鼠标模拟以及向窗口对象发送消息等方式，绕过主动防御功能的拦截，从而达到了自我保护的目的。强行修改IE浏览器首页，通过提高某些恶意网站的访问量和插件安装量，为骇客带来了非法的经济利益。“焦点间谍”变种czb具有自动更新功能，其会根据骇客指定站点上的配置文件“http://www.houtai*8.cn/list.htm”来决定自身是否需要升级更新。同时，还可根据配置信息下载其它的恶意程序，从而给用户造成更多的威胁。另外，“焦点间谍”变种czb可通过U盘等移动存储设备进行自我传播，其会在被感染系统注册表启动项中添加键值“maincyucst”，以此实现木马的开机自动运行。