不支持Flash
|
|
|
土匪虫劫持安全软件 黑客工具变身驱动程序http://www.sina.com.cn 2008年01月21日 14:08 中关村在线
作者:张齐
记者近日从金山毒霸方面获得消息,一种蠕虫病毒“土匪虫”开始疯狂传播,并且可以劫持大部分杀毒软件,提醒广大用户小心。 “土匪虫71682”(Worm.VB.jw.372736),这是一个蠕虫病毒。该蠕虫运行后,复制自身到系统文件夹,在注册表中添加相关项,影响劫持大多数安全软件,使安全软件无法正常运行。该蠕虫会查找当前可用的网络连接和共享,通过写入共享目录进行传播。 一、“土匪虫71682”(Worm.VB.jw.372736) 威胁级别:★★ 病毒进入用户的电脑系统后,在系统盘的%WINDOWS%\system32\目录下释放出六个病毒文件,分别为alcwzrd.exe、ineters.exe、notepd.exe、SoundMan.exe、ttzhh.ini、zjhz1.ini。接着,它迅速修改系统注册表,把自己的相关信息加入其中,实现随系统启动而自动运行之目的。 同时,病毒搜索系统中已安装的杀毒软件,对它们实行映像劫持,包括毒霸、诺顿、麦咖啡、卡巴斯基、瑞星等著名产品均在病毒的“黑名单”中。如果杀毒软件被病毒劫持,它们就会失去正常的工作能力,用户试图启动它们,唯一的反应就是病毒被再次激活。 然后,该病毒会查找当前可用的网络连接和共享,如果发现当前计算机有共享目录,便会复制自身到共享目录,借以传播自己。虽然它除劫持杀毒软件和不断传播自己外,没有别的破坏行为,但由于会造成电脑系统的“安全真空”,给外部的恶意程序创造可趁之机,因此广大用户对它也应提高警惕。 二、“黑客工具45056”(Win32.Troj.Ring0.c.45056) 威胁级别:★★ 病毒顺利潜入用户电脑后,会在系统盘的%WINDOWS%\system32\drivers\目录下释放出病毒文件Ring0.sys,然后就修改注册表,将自己的相关数据加入启动项,实现开机自启动。 为避免被用户发现,病毒还会伪装成为WINDOWS操作系统核心保护结构的驱动程序。如果检查进程,可发现多出了一个名为“NT Ring0 Driver”的进程,这就是该病毒了。 当病毒开始运行,它就会查找用户电脑上已安装的还原卡,然后破解其的密码,使木马种植者(黑客)顺利读写被保护的系统设备,造成受保护信息的泄露,给用户带来损失。
【发表评论 】
不支持Flash
|