病毒预警：“猫癣下载器”劫持系统 下载盗号木马

淡淡体味

病毒预警：“猫癣下载器”劫持系统 下载盗号木马

来自：MACD论坛(bbs.macd.cn) 作者：淡淡体味 浏览：1871 回复：0

“猫癣下载器”（win32.troj.droprootkit.a.143360），该毒为一款木马下载器。它有较强的对抗能力，可导致系统中的安全软件失效。该毒运行后还会导致迅雷不能启动，电脑运行速度变慢。

　　“脚本小子1821”（js.downloader.kb.1821），这是一个网页脚本木马。该毒刚刚爆发，具体行为是利用系统漏洞入侵用户电脑，然后下载其它木马到用户系统中运行，盗窃各种有价值的数据。由于下载量比较大，可能导致电脑运行速度变慢。

　　一、



　　春节后非常值得注意的病毒，依然是猫癣下载器。春节长假前夕，金山毒霸曾发布病毒预警根据金山毒霸云安全系统的统计，春节期间，猫癣下载器的变种（包括其原作者生产的“原装版”和其他病毒作者改造出的“山寨版”）保守数值已达500个。而随机抽取其中一个名为win32.troj.droprootkit.a.143360的变种进行监测，其保守感染量达到每日540台电脑。

　　无论是哪款变种的“猫癣”，都能利用IE70day漏洞、微软access漏洞、新浪uc漏洞、realplay漏洞等多种系统和第三方软件的安全漏洞进行网页挂马传播，如果用户系统存在以上漏洞，又刚好浏览到被挂马的网页，“猫癣”就会趁虚而入。

　　进入系统后，它释放出自己的文件usp10.dll，劫持一些系统进程、关闭常见安全软件，然后下载大量的盗号木马。在此过程中，为确保自己能顺利调用系统文件，它还会破坏一些系统进程和迅雷等第三方软件的运行，防止它们和自己争抢资源。

　　由于截至目前仅有毒霸可以防御和处理该毒，“猫癣”在网络中的传染呈现一种“稳扎稳打”的趋势，基本上是遇到一台电脑就占领一台电脑。已安装毒霸的电脑用户，仅需注意开启毒霸的自动升级功能，就可高枕无忧。而如果是非毒霸用户，我们建议您可以使用免费的“金山系统急救箱”作为安全应急措施。


　　二、



　　脚本木马一直是深受病毒作者青睐的下载器形式，利用JS脚本编写而成的木马，可以很容易的挂在各种网页上，自动感染访问这些网页的电脑。

　　“脚本小子1821”就是金山毒霸在春节期间捕获的一个脚本木马程序。它主要是利用系统中的IE70day漏洞、realplay漏洞等漏洞进行传播，只要用户系统存在IE70day漏洞，在访问被挂马网页时，就会感染该毒。

　　进入电脑后，该毒利用漏洞实现数据溢出，让自己从系统缓冲区“逃脱”到系统临时目录中，随后就在后台连接病毒作者指定的远程地址，下载大量的盗号木马。每下载成功一个就执行一个，由于下载量较大，电脑的运行速度会越来越慢，甚至死机。

　　上述漏洞的存在时间都已经很久，各大安全软件厂商一直强调，要求用户们注意升级系统安全补丁，但相当多的用户，由于各种原因，依然没按时升级系统。因此，脚本小子1821才会有日均1万多台的感染量。好在毒霸可以拦截该毒，它在进入临时目录时，就被毒霸查杀了。这也是为什么该毒拥有如此大的感染量，威胁等级却不高的原因。