14日病毒预报：加强对木马病毒的查杀意识

【51CTO.com 独家报道】51CTO安全频道今日提醒您注意：“克莱客”变种au、Trojan/Obfuscated.qvk“小迷糊”变种qvk、“控制者ib”和“盗取者abcr”在明天的病毒中，都值得关注。

一、明日高危病毒简介及中毒现象描述：

◆“控制者ib” 威胁级别：★★★★

该病毒为后门类病毒，该病毒运行后，复制自身到%system32%目录下重命名为：“algs.exe”（随机病毒名），添加注册表启动项，创建线程用于扫描用户所在网络，若发现存在默认共享或弱口令则传播自身；衍生自删除bat文件在当前路径下，并调用删除自身，连接网络下载病毒文件，此病毒为一个利用Windows平台下IRC协议的网络蠕虫，受感染用户可能会被操纵进行Ddos攻击、远程控制、发送垃圾邮件、创建本地Tftp、下载病毒文件等行为。

◆“盗取者abcr”  威胁级别：★★★

该病毒为盗窃网络游戏“完美世界”账号的木马。病毒运行后，复制自身到%WinDir%下，衍生病毒文件tciocp32.dll到%System32%下；添加启动项，以达到随机启动的目的；病毒试图通过全局挂钩把tciocp32.dll注入到所有进程中，查找“完美世界”的游戏窗口标题名称“zelementclient window”，监视用户操作的键盘和鼠标消息以获取网络游戏“完美世界”的账号及密码，发送到病毒作者指定的URL。

◆“小迷糊”变种qvk   威胁级别：★★

该病毒采用VC++编写，并经过添加保护壳处理。“小迷糊”变种qvk运行后，自我复制到被感染计算机系统的指定目录下，修改注册表，实现木马开机自动运行。启动“iexplore.exe”进程，将病毒代码注入其中运行，隐藏自身，躲避安全软件的查杀。在后台秘密收集被感染计算机的系统名称、用户账号等敏感信息，并提交到骇客指定的服务器上。与骇客指定的服务器建立网络连接，接收骇客的指令并完成相应的操作，骇客可通过“小迷糊”变种qvk远程控制被感染的计算机系统。另外，“小迷糊”变种qvk还会在被感染计算机上下载并执行指定的恶意程序，所下载的恶意程序可能包含网游木马、恶意广告程序、后门等，给用户带来不同程度的损失。

◆“克莱客”变种au  威胁级别：★★

该病毒运行后，自我复制到被感染计算机系统的“%SystemRoot%\system32”目录下，重命名为“schrars.exe”。自我添加为系统服务，实现蠕虫开机自动运行。在后台秘密收集被感染计算机的系统名称、用户账号等敏感信息，并提交到骇客指定的服务器上。在被感染计算机的后台连接骇客指定站点，下载大量的恶意程序并在被感染计算机上自动运行。所下载的恶意程序可能包含网游木马、恶意广告程序、后门等，给用户带来不同程度的损失。

与骇客指定的服务器站点建立网络连接，骇客可通过“克莱客”变种au远程控制被感染的计算机，可执行的恶意操作包括：文件操作，进程操作，注册表操作，服务操作，屏幕监控，键盘记录，摄像头抓图，命令操作等，给用户的计算机安全和个人隐私，甚至商业机密造成严重威胁。另外，“克莱客”变种au还具有自我删除的功能，以便消除痕迹。

二、针对以上病毒，51CTO安全频道建议广大用户：

1、最好安装专业的杀毒软件进行全面监控并及时升级病毒代码库。建议用户将一些主要监控经常打开，如邮件监控、内存监控等，目的是防止目前盛行的病毒、木马、有害程序或代码等攻击用户计算机。

2、请勿随意打开邮件中的附件，尤其是来历不明的邮件。企业级用户可在通用的邮件服务器平台开启监控系统，在邮件网关处拦截病毒，确保邮件客户端的安全。

3、企业级用户应及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒。另外为保证企业信息安全，应关闭共享目录并为管理员帐户设置强口令，不要将管理员口令设置为空或过于简单的密码。

截至记者发稿时止，江民、安天实验室的病毒库均已更新，并能查杀上述病毒。感谢江民科技和安天实验室为51CTO安全频道提供病毒信息。