AV终结者新变种多种手段关闭杀毒软件

2008/12/1/07:37 来源：赛迪网

“AV终结者变种65536”（Win32.Troj.Agent.fi.65536），这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。

“木马下载器35840”（Win32.TrojDownloader.Dluca.ge.35840），这是一个木马下载器程序。它能下载大量的恶意程序到用户电脑中运行。病毒会建立多个启动项，让用户难以彻底删除自己。

一、“AV终结者变种65536”（Win32.Troj.Agent.fi.65536）威胁级别：★★

AV终结者的变种再次出现。此次发现的变种依旧具有较大的破坏力，如果侵入用户系统，可能带来严重影响。

和早先的一些版本一样，该毒进入系统后，首先会修改系统时间，让一来系统时间进行激活和升级的安全软件失效。然后，立即搜索系统中是否安装得有目前主流的安全软件，穿透SSDT表，解除它们的武装，并将它们劫持，令其完全失效。如果用户试图运行这些安全软件，结果只可能是不断的激活病毒而已。

随后，它破坏文件夹显示属性和安全模式的相关数据，让用户无法查看隐藏文件和进入安全模式，从而阻止用户进行手动查杀。同时，它还会监视用户在IE浏览器中输入的文字，一旦发现用户登录杀毒软件厂商的网站或浏览任何与电脑安全有关的内容，就强行关闭浏览器，这样一来，用户就无法向外界求助。

最后，病毒遍历c到z的盘符，发现将自己复制到各盘的根目录下，命名HGZP.PIF，并创建对应的autorun.inf，只要用户在中毒电脑上使用U盘等移动存储设备，病毒就能将其自动传染。

当以上步骤都顺利完成，病毒就建立远程连接，下载大量的木马文件并运行，随着运行的木马越来越多，电脑运行速度可能会减慢。

二、“木马下载器35840”（Win32.TrojDownloader.Dluca.ge.35840）威胁级别：★

该毒对用户系统的注册表会有较多修改，它为自己建立多个启动项，用户即便清理掉了其中的一些，它也依然能运行起来。

病毒运行后，会下载大量的恶意程序，经毒霸反病毒工程师检查，主要是网游盗号木马和远程控制木马。

在成功运行后，该毒会建立互斥体，防止自己的其它副本重复运行带来的崩溃。因为如果发生崩溃，那么反而不利于木马们执行非法操作。

金山反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

特别推荐：	办公热门产品 \| 板夹 \| 书写工具 \| 订夹 \| 名片盒 \| 软抄本 \| 收纳用品 \| 笔袋 \| 记事本 \| 便条贴 \| 笔芯 \| 分页纸 \| 订书针 \| 薄本册
更多精彩：	文具 \|