金山12.27病毒预警：大话西游盗号者14741

　　“圣诞虫变种22321”（Win32.Hack.PBot.b.22321），这是一个MSN病毒变种。病毒在后台监控用户MSN聊天工具是否存在，并向用户MSN好友发送消息，如“hola, My Christmas picture for you :)（这是我的圣诞照片，给你）”，然后传一个含毒的压缩包附件。病毒发作后会尝试连接远程服务器，接受远程黑客命令。

　　“大话西游盗号者14741”（Win32.PSWTroj.OnlineGames.14741），这是一个盗号木马。它会通过模拟按键的方式躲避杀软的警告窗口。每次启动时，病毒进程名称都不同，但对应的病毒文件却是固定的。病毒会盗取网络游戏《大话西游2》的帐号信息并发送至木马种植者指定的接收网址。

　　一、“圣诞虫变种22321”（Win32.Hack.PBot.b.22321） 威胁级别：★★

　　尽管圣诞节已过，但圣诞虫系列的MSN病毒仍然猖獗。此病毒进入用户系统后，在系统盘的根目录%WINDOWS%下释放出devices.exe和img2007-12.zip这两个病毒文件，随后修改注册表，把自己的相关信息加入其中，达到随系统启动而自动运行之目的。当它成功运行起来后，就会在后台不断监控用户是否有启动MSN聊天工具。

　　如果发现启动得有MSN，病毒就悄悄向用户的MSN好友发送一段有关圣诞节的消息，比如“hola, My Christmas picture for you :)”（这是我的圣诞照片，给你），接着，传送一个含有病毒文件的压缩文件包附件，骗取好友接受。

　　一旦用户的好友上当，接收了含毒压缩包并进行解压，病毒就会回到以上的步骤，继续传播自己。与此同时，病毒会在中毒用户无法察觉的情况下建立远程连接，将中毒电脑连接到黑客的远程服务器。如果连接被建立，黑客就可对中毒的电脑发送各种远程控制指令，掌握中毒电脑中的资料，并将其变成任由摆布的“肉鸡”。

　　二、“大话西游盗号者14741”（Win32.PSWTroj.OnlineGames.14741） 威胁级别：★

　　病毒进到用户系统中后，会迅速创建线程，查找杀毒软件卡巴斯基的警告窗口，以及瑞星的注册表监控提示窗口，如发现，便模拟发送按键消息，使病毒通过安全认证。之后，它在系统盘中生成两个病毒文件，分别为%WINDOWS%目录下的fzwezc.exe和%WINDOWS%system32目录下的NVDispDrv.dll。然后，病毒修改注册表，将自己的相关信息加入其中，达到随系统自启动之目的。

　　当顺利运行起来，病毒枚举系统进程，查找桌面进程 explorer.exe ，把病毒文件 NVDispDrv.dll 注入到该进程空间内，以便能搜索并注入网络游戏《大话西游2》的进程。

　　进入《大话西游2》的进程后，病毒会立刻盗取用户的帐号信息，并将其发送到木马种植者指定的接收网址http:/ /www.3*9**8.cn/x**h/lin.asp?ks=sbb1&id=##&，给用户造成虚拟财产的损失。

　　需要注意的是，为避免被用户发现，此病毒在每次系统重启后，都会给自己起不同的进程名。可是，如果检查它们的启动项，会发现其对应的真正对象都是“NVDispDrv”，这就可以作为辨认该病毒的一个方法。

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2007年12月27的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。