01.27病毒预警：AUTO下载者感染U盘下载病毒

lukeji3

01.27病毒预警：AUTO下载者感染U盘下载病毒
“热血江湖盗号者135168”（Win32.PSWTroj.OnlineGames.rx.135168），这是一个盗号木马，它会替换掉网络游戏《热血江湖》的启动文件，使用户通过病毒伪装的启动文件进入游戏，以盗取系统上的帐号信息，并发送给木马种植者。

　　“AUTO下载者110592”（Win32.Troj.undef.110592），这是一个蠕虫病毒。该病毒运行后，会替换用户电脑中%WINDOWS%\\system32\\目录下的userinit.exe文件，然后从网上下载其它病毒程序。它还会在各分区生成AUTO病毒，利用U盘等移动设备传播自己。

　　一、“热血江湖盗号者135168”（Win32.PSWTroj.OnlineGames.rx.135168） 威胁级别：★

　　病毒进入电脑系统后，在系统盘根目录下生成一个“RECYCLER”文件夹，将病毒文件rrr.exe和yb_men.dll释放到里面，随后就查找电脑中是否安装的有“瑞星”等杀毒软件。如无，则运行之前生成的病毒文件rrr.exe。该文件是病毒的主程序，等它运行起来后，就会展开搜索，查找网络游戏《热血江湖》的进程launcher.exe。

　　如找到launcher.exe，病毒会将它更名为launchar.exe，并隐藏起来。接着，将病毒文件 rrr.exe复制到launcher.exe所处的文件夹，更名为launcher.exe，摇身变成了游戏的启动文件。如果用户点击假的launcher.exe，病毒就会调用已被隐藏的真launcher.exe，实现游戏启动，这样，用户在进入游戏时并不会察觉异常，但输入的帐号密码却已经被病毒截获了。

　　除此而外，病毒同时仍采用传统的注入式盗号方法。它会把之前生成的病毒文件yb_men.dll注入系统桌面进程，搜索并注入《热血江湖》的游戏窗口，通过内存读写的方式盗取用户的帐号信息。

　　由于同时采取多种盗号方式，病毒作案的成功率得到提高，盗窃成功后，病毒建立远程连接，将赃物发送到木马种植者指定的地址，给用户造成虚拟财产的损失。

　　二、“AUTO下载者110592”（Win32.Troj.undef.110592） 威胁级别：★★

　　病毒进入系统后，在系统盘中生成多达27个病毒文件，除了%WINDOWS%\\system32\\目录下的ntfs.dll和%WINDOWS%\\system32\\drivers\\目录下的plmm.txt，其余都是%WINDOWS%\\system32\\drivers\\目录下以1至25数字为名称的.txt格式文本文件。

　　病毒文件释放完毕后，迅速在用户系统的%WINDOWS%\\system32\\目录下查找并替换WINDOWS系统中负责管理程序启动顺序的进程userinit.exe。替换完成后，病毒就能随系统自动启动，同时也可保护病毒文件不被删除。

　　接着，病毒悄悄连接网络，从网上下载其它病毒程序到用户电脑中运行，给用户的系统安全带来更大的威胁。此外，病毒会在各磁盘分区中生成AUTO病毒文件autorun.inf及病毒程序的副本，当用户双击打开含毒分区时，会再次激活病毒程序。如果用户在中毒电脑上使用U盘等移动设备，病毒会将其传染，借以扩大自己的传播范围。