【资讯中心】变种鸽子”建立后门 帮助黑客窃取信息 (1/103)

“变种鸽子2101248”（Win32.Hack.Prorat.dz.2101248），这是灰鸽子木马的一个变种。它有一定程度的伪装能力，会在用户系统中建立后门，为黑客窃取用户信息和控制用户电脑提供帮助。

　　“奔跑炸弹119808”（Win32.Hack.VanBot.wv.119808），这是一个黑客程序。它能利用AUTO技术进行自动传播，进入电脑后就建立远程连接，以便于黑客攻击用户电脑。

　　一、“变种鸽子2101248”（Win32.Hack.Prorat.dz.2101248）威胁级别：★

　　该毒的伪装能力很普通，它是利用给自己使用类似系统文件的名曾的办法，来躲避检查。它在%WINDOWS%\system32\目录下释放出名称类似系统进程service.exe的病毒子文件fservice.exe和sservice.exe，然后就修改注册表启动项，实现开机自启动。

　　病毒运行后解密自己的文件，释放出又一个子文件winkey.dll。此文件用于执行夺取系统控制权限和开启敏感端口的任务。如果它运行起来，就会建立后门，等待黑客的入侵。

　　当后门建立完成，该毒就删除自己之前释放出的fservice.exe和sservice.exe，以及最初的原始文件，降低被用户发现的机率。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-hack-prorat-dz-2101248-52848.html

　　二、“奔跑炸弹119808”（Win32.Hack.VanBot.wv.119808）威胁级别：★

　　这个黑客程序的传播速度比较快，它除利用捆绑正常软件进行传播外，还能利用AUTO技术实现自动的传播。它每进入一台电脑，就在其全部的磁盘分区中建立AUTO文件Isass.exe和sample.exe，只要用户在中毒电脑上使用U盘等移动存储设备，该毒就能传染上去，随着U盘跳跃到别的电脑上。

　　这两个文件运行起来后，会开启一些敏感端口，并在后台悄悄调用IE浏览器的进程，连接病毒作者指定的黑客服务器，等待黑客的下一步指令。

　　当连接建立，该毒就删除自己的原始文件，防止用户发现电脑中出现多余文件。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-hack-vanbot-wv-119808-52839.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年12月19日的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。