【itFensi.com 独家报道】IT粉丝网(ITFENSI.COM)安全频道今日提醒您注意：在明天的病毒中“TrojanDropper.Delf”变种bpg、“QQ蜜”变种daj、“U盘寄生虫”变种v、“BHO劫持者”变种blj、“U盘寄生虫dqf”、“猎兔犬”和“Win32/Cutwail.GJ”都值得关注。
一、明日高危病毒简介及中毒现象描述：
◆“TrojanDropper.Delf”变种bpg是“TrojanDropper.Delf”木马释放器家族的最新成员之一，采用Delphi编写，并经过添加保护壳处理。“TrojanDropper.Delf”变种bpg运行后，在被感染计算机的指定目录下释放病毒文件。该病毒文件运行后，可在被感染计算机系统指定目录下释放恶意驱动程序并加载运行。还原系统“SSDT”，致使某些安全软件的防御和监控功能失效，从而达到躲避安全软件监控的目的。利用Rootkit技术隐藏病毒文件、病毒进程等，防止被查杀。查找并强行关闭某些安全软件，极大地降低了被感染计算机系统的安全性。启动“iexplore.exe”进程并将病毒代码注入其中运行，隐藏自身，躲避查杀。用直接操作“还原精灵”驱动的方式穿透“还原精灵”。连接骇客指定的服务器站点，获取病毒列表，然后下载列表中所有恶意程序并在被感染计算机上自动调用运行。其中，所下载的恶意程序可能是网游木马、广告程序（流氓软件）、后门等，给被感染计算机用户带来不同程度的损失。
◆“QQ蜜”变种daj是“QQ蜜”广告程序家族的最新成员之一，采用高级语言编写，并经过添加保护壳处理。“QQ蜜”变种daj运行后，自我复制到被感染计算机系统的指定目录下。修改注册表，实现广告程序开机自动运行。强行篡改注册表，降低被感染计算机系统的安全设置。在后台秘密窃取被感染计算机系统的配置信息（MAC地址、操作系统版本、用户名、PC名等），并将窃取到的信息发送到骇客指定的远程服务器站点上。另外，“QQ蜜”变种daj还会在被感染计算机的后台连接骇客指定站点，下载大量恶意程序并在被感染计算机上自动运行。其中，所下载的恶意程序可能包含网游木马、恶意广告程序、后门等，给用户带来不同程度的损失。
◆“U盘寄生虫”变种v是“U盘寄生虫”蠕虫家族的最新成员之一，采用高级语言编写，并经过添加保护壳处理。“U盘寄生虫”变种v运行后，调用“net stop”命令关闭大量安全软件的服务，查找并强行关闭数十种流行的安全软件，通过映像劫持技术禁止大量安全软件以及安全辅助工具的运行，极大地降低被感染计算机系统的安全性。强行篡改注册表，致使用户无法查看隐藏文件、无法进入“安全模式”。在后台秘密查找用户打开的窗口标题，一旦发现QQ聊天窗口则将自身发送给用户的好友。在所有盘符根目录下创建“autorun.inf”文件和蠕虫主程序文件（文件属性为“系统、隐藏”），达到双击盘符启动“U盘寄生虫”变种v运行的目的，从而利用U盘、移动硬盘等移动设备进行传播。
◆“BHO劫持者”变种blj是“BHO劫持者”木马家族的最新成员之一，采用VC++编写。“BHO劫持者”变种blj运行后，自我复制到被感染计算机系统的“%SystemRoot%/system32/”目录下，重命名为“usmsvc.exe”，并将其添加为启动项，实现木马开机自动运行。在“%SystemRoot%/system32/”目录下释放DLL木马组件“usmsho.dll”，注册为浏览器辅助插件（BHO），实现木马随系统浏览器的启动而加载运行。监视用户的操作，当用户使用IE浏览器时可能会自动弹出网页窗口，影响用户的正常使用。自我伪装成某安全软件的更新程序，显示“升级程序正在下载文件”的窗口，一旦用户点击运行便连接到骇客指定站点，下载恶意程序并在被感染计算机上自动调用运行。其中，所下载的恶意程序可能是网游木马、广告程序（流氓软件）、后门等，给被感染计算机用户带来不同程度的损失。另外，“BHO劫持者”变种blj还能够自升级。
◆“U盘寄生虫dqf” 该病毒属蠕虫类，病毒运行后复制自身到%System32%下，更名为exloroe.com；复制到%System32%/dllcache下，更名为lsoss.exe；复制自身到各个驱动器根目录下，更名为net.exe，并衍生autorun.inf文件，使病毒在用户双击打开驱动器时运行；删除%System32%目录下的cmd.exe和cmdl32.exe文件，修改注册表，清空注册表中的启动项，添加新的启动项，删除注册表文件（.reg文件）的文件关联；删除部分安全模式相关注册表项；修改系统文件、隐藏文件等文件的显示方式；通过修改注册表删除Windows XP的更新选项、禁用IE的Internet选项，进制用户进入MS-DOS模式；用户无法通过双击驱动器将其打开；遍历磁盘中所有.asp、.aspx、.htm、.html、.jsp、.php文件，在文件头部添加104个字节的网页地址，打开被感染的文件后将通过浏览器打开被感染文件头部的网页。
◆“猎兔犬”该病毒为木马类。病毒运行后释放文件到系统目录下；将关键字符串进行解密。遍历系统进程寻找BKPCLIENT.EXE、GUARDFIELD.EXE、BARCLIENTVIEW.EXE、FRZSTATE2K.EXE、QZCLIENT.EXE；如发现有以下进程就直接对硬盘进行读写操作使其还原保护软件失效；并加载驱动将病毒驻留在内存中，达到随系统一起启动的目的；修改360保险箱的配置文件sprotect.ini将其SoftProtect设置为零，降低360保险箱保护范围；复制explorer.exe文件到system32目录下重新加载，关闭在任务中的进程监视等保护软件。连接指定地址获取下载列表，下载大量病毒并自动运行，给病毒清除带来一定的困难。
◆Win32/Cutwail.GJ是一种带有rootkit功能的特洛伊病毒，能够修改系统的winlogon.exe文件。它可能用来下载并运行任意文件，将它们保存到磁盘或者注入其它的程序。同时，这些文件被用来发送大量的邮件和更新Cutwail的最新变体。
Cutwail运行时生成%Windows%/System32/main.sys文件。
病毒危害：
下载并运行任意文件；
发送大量的邮件；
Rootkit 功能。
二、针对以上病毒，IT粉丝网(ITFENSI.COM)安全频道建议广大用户：
1、最好安装专业的杀毒软件进行全面监控并及时升级病毒代码库。建议用户将一些主要监控经常打开，如邮件监控、内存监控等，目的是防止目前盛行的病毒、木马、有害程序或代码等攻击用户计算机。
2、请勿随意打开邮件中的附件，尤其是来历不明的邮件。企业级用户可在通用的邮件服务器平台开启监控系统，在邮件网关处拦截病毒，确保邮件客户端的安全。
3、企业级用户应及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒。另外为保证企业信息安全，应关闭共享目录并为管理员帐户设置强口令，不要将管理员口令设置为空或过于简单的密码。
截至记者发稿时止，江民、安天、冠群金辰的病毒库均已更新，并能查杀上述病毒。感谢江民科技、冠群金辰和安天为IT粉丝网(ITFENSI.COM)安全频道提供病毒信息。
【相关文章】
