本周重点关注病毒：
恶意木马：“狩猎者”新变种(Troj.qqmsghao114 Troj.PopWeb) ★★★ 传播方式：利用IE漏洞自动下载安装
利用QQ自动发送消息，骗取QQ上的网友点击消息中的网址。拥有该网址的网页内嵌该木马。当没有打上IE的IFrame漏洞补丁的系统就会自动下载该木马并立即运行。此次变种可能有自动更新的功能，并会下载另一个木马“Troj.PopWeb”。木马“Troj.PopWeb”会随机打开程序设定的网址，通常，都是一些网站的广告网址，其中会包含色情、违禁网站的广告。两种木马的同时工作，严重骚扰正常的网络使用，而且会大量浪费系统和网络资源。“狩猎者”最新变种的改进，更说明了其潜在的危险性，试想，如果被自动下载的木马是一个网游帐号盗取木马，那么使用该系统的人就会造受经济损失了，所以查杀和防止此类病毒是迫在眉捷了。该木马安装到系统后的特点：
1. Troj.QQmsghao114木马会修改IE的默认主页为 http://ww.hao114.com/home.htm ，并在用户准备发送的QQ消息时,
自动将其网站的链接( hao114.com )加到消息中发送出去,Troj.PopWeb木马会定时弹出一些网页。
2. Troj.QQmsghao114木马自我复制到系统目录，文件名为HEIBAI.exe。Troj.PopWeb木马会被下载或是自我复制到系统目录，文件名为QUpdate.exe,该木马会在Win.ini中加两个节：AutoTime和NextOpen，这两个节会指定其弹出网页的时间。
3.添加注册表的健值:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
中添加如下键值:
"HEIBAI.exe"="%system%\HEIBAI.exe" （Troj.QQmsghao114添加）
"load"="%system%\QUpdate.exe" （Troj.PopWeb.b添加）
手工清除方法：对于该木马最好的防御方法是打上IE的IFrame漏洞补丁，请使用
Windows 自带的“Windows
Update”程序进行更新，建议升级IE浏览器的版本到6.0。如果不幸感染了该木马，请使用进程管理器结束名为“HEIBAI.exe QUpdate”的进程，并到系统目录下搜索和删除这此文件。最后，删除注册表中的以下键值：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"HEIBAI.exe"="%system%\HEIBAI.exe"
"load"="%system%\QUpdate.exe"
注意：这类木马出自各个不良网站之手，会出现大量的变种，变化基本以进程名不同、文件名不同、注册表键值不同、打开的网址不同。所以，应该多留意那些名字奇怪的进程和注册表键值。最后，再次提醒，一定要打上IE的IFRAME漏洞补丁，既可免除此类病毒的危害，特别是对新装机的用户们。
|
