病毒预警：“伪杀软下载器”诱骗下载、黑客控制

guyou888

病毒预警：“伪杀软下载器”诱骗下载、黑客控制

来自：MACD论坛(bbs.macd.cn) 作者：guyou888 浏览：2032 回复：1

“伪杀软下载器225280”（Win32.TrojDownloader.Zlob.225280），这是一个诈骗型的下载器程序。它会令用户的浏览器登录到指定网页，然后欺骗用户说电脑中有病毒，要求用户下载一个所谓的“杀毒软件”。

　　“远程控制木马32768”（Win32.Troj.Delf.32768），这是一个远程木马程序。它会连接指定的远程地址，帮助黑客控制用户电脑。它还具有自我删除的功能。

　　一、“伪杀软下载器225280”（Win32.TrojDownloader.Zlob.225280）  威胁级别：★★

　　这个木马下载器属于诈骗型木马，它会恐吓用户说系统中有极度危险的病毒，必须下载指定的“杀毒软件”。

　　该毒进入系统后，首先会检查感染的机器是否是WINDOWS操作系统，若不是则在临时目录上创建脚本，删除自己。如果是WINDOWS系统，它就释放在%Program Files%\Web Technologies\目录下释放出一个iebr.dll文件，并将其加入注册表启动项，实现自己的开机自启动。

　　当病毒运行起来，它就判断用户使用的浏览器是什么种类，并添加对应的工具条。这个动作完成后，一些网站就会被禁止访问。这些被禁止访问的网站，一些是安全软件厂商的，一些是其它间谍软件的下载网站。由此看来，此下载器的作者既害怕安全厂商，又很讨厌同行的竞争对手。

　　最后，此毒会令用户的浏览器弹出病毒作者指定的网址www.s***refr****nks.com，进入网页后，会弹出窗口提示用户说在用户电脑上发现病毒，必须立刻下载一个名为Antispyware2008 online scanner 的“杀毒软件”，如果用户不选择下载，提示窗口就无法关闭。

　　但是，经毒霸反病毒工程师检查，它所谓的安全检查窗口其实是个flash 动画文件，无论用户系统中是否有病毒，它都会提示同样的信息。至于它要求用户下载的“杀毒软件”，其实是个间谍软件，会收集用户电脑里的敏感数据。


　　二、“远程控制木马32768”（Win32.Troj.Delf.32768）  威胁级别：★

　　这个远程控制木马技术含量较低，但由于借助下载器传播，近来传播量较高。

　　病毒运行后拷贝自身到系统目录%windows%\system32\下，文件名为ascec.exe。注册为服务启动，服务名为“1”，描述则完全为空。用户如果发现系统中有这样的进程，那很可能就是此毒。

　　当成功启动后，该毒就读取用户电脑系统的地址、配置等信息，然后开启部分端口，连接67.22*.1*6.1*6:1803这个由病毒作者指定的远程服务器，等待黑客发出指令。由于该毒已经获得了系统最高权限，黑客可以利用它完成任何想要的操作。

　　运行结束后，它会执行自删除，避免自己的样本被用户发现。

流浪兔子

:*19*: :*19*: