金山03.08病毒：“QQ感染下载器”关闭杀软警示

　　“QQ感染下载器71804”（Win32.Troj.InfoWin.a.71804），这是一个会利用QQ传播的木马下载器。该病毒运行后，会关闭任务管理器（taskmgr.exe）的进程，同时搜索并关闭系统中的卡巴斯基的警告提示框。它还会监视QQ即时聊天工具的进程，伺机向用户的好友发送挂马链接，并从网上下载其它恶意软件或者木马等。

　　“寄生凤凰”（Win32.Troj.Unknown.568320），这是由一个名为“凤凰RemoteABC ”的远程工具生成的木马程序。此病毒运行后修改注册表，将自身Re.exe注册为系统服务，打开用户计算机后门，以便黑客可以轻松地利用远程服务端控制中毒的计算机。

　　一、“QQ感染下载器71804”（Win32.Troj.InfoWin.a.71804） 威胁级别：★★

　　病毒进入系统后，在系统盘的%ProgramFiles%Internet Explorer目录下释放出病毒文件InfoWin.Dll和InfoWin.Sys，并篡改系统注册表，写入自己的有关数据，实现开机自动运行的功能。

　　病毒如果运行起来，就会展开监视程序，查看系统中是否有启动着的任务管理器程序，如有则将其关闭，防止用户利用任务管理器查找病毒文件。同时，如果系统中安装得有杀毒软件卡巴斯基，病毒会紧盯住它，只要发现卡巴试图弹出监视提示框向用户报告系统异常，就抢先将提示框关闭。

　　接着，病毒创建消息监视，捕获系统对话框消息，如果发现有QQ聊天窗口打开，则在后台向该窗口发送含有挂马网页链接的信息，信息内容多为充满诱惑的文字，吸引用户好友点击。

　　此外，在病毒运行的后期，它会尝试连接木马种植者指定的地址http://www.z**66.com，下载其它的恶意软件或者木马到用户电脑上运行，引起无法估计的更多破坏。

　　二、“寄生凤凰”（Win32.Troj.Unknown.568320） 威胁级别：★

　　这是一个类似“灰鸽子”的远程程序。它通过篡改系统注册表启动项，实现开机自动启动。病毒运行起来后，会自动上线，连接到黑客（木马种植者）指定的远程服务器，等候黑客入侵。

　　利用该病毒，黑客可对中毒电脑直接进行文件和注册表等管理、远程查看屏幕等操作，还可随意遥控开启中毒电脑上的视频和语音设备，偷窥用户真实生活中的隐私。此外，病毒还可方便地帮助黑客创建Ftp、Web服务器、内网映射等服务，将中毒电脑变成任由黑客摆布的“肉鸡”。

　　病毒主文件隐藏在系统盘的%WINDOWS%目录下，名称是“Re.exe”，查看属性时，可看到其名称是“凤凰RemoteABC”，描述为“Remote ABC”。为隐藏作案，此病毒在释放完文件后就会利用批处理程序删掉自己的原始文件，但利用毒霸就能对其进行彻底查杀。

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年3月8的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。