客服电话：400 610 7777
“热血江湖盗号者135168”（Win32.PSWTroj.OnlineGames.rx.135168），这是一个盗号木马，它会替换掉网络游戏《热血江湖》的启动文件，使用户通过病毒伪装的启动文件进入游戏，以盗取系统上的帐号信息，并发送给木马种植者。
“AUTO下载者110592”（Win32.Troj.undef.110592），这是一个蠕虫病毒。该病毒运行后，会替换用户电脑中%WINDOWS%\system32\目录下的userinit.exe文件，然后从网上下载其它病毒程序。它还会在各分区生成AUTO病毒，利用U盘等移动设备传播自己。
一、“热血江湖盗号者135168”（Win32.PSWTroj.OnlineGames.rx.135168） 威胁级别：★
病毒进入电脑系统后，在系统盘根目录下生成一个“RECYCLER”文件夹，将病毒文件rrr.exe和yb_men.dll释放到里面，随后就查找电脑中是否安装的有“瑞星”等杀毒软件。如无，则运行之前生成的病毒文件rrr.exe。该文件是病毒的主程序，等它运行起来后，就会展开搜索，查找网络游戏《热血江湖》的进程launcher.exe。
如找到launcher.exe，病毒会将它更名为launchar.exe，并隐藏起来。接着，将病毒文件 rrr.exe复制到launcher.exe所处的文件夹，更名为launcher.exe，摇身变成了游戏的启动文件。如果用户点击假的launcher.exe，病毒就会调用已被隐藏的真launcher.exe，实现游戏启动，这样，用户在进入游戏时并不会察觉异常，但输入的帐号密码却已经被病毒截获了。
除此而外，病毒同时仍采用传统的注入式盗号方法。它会把之前生成的病毒文件yb_men.dll注入系统桌面进程，搜索并注入《热血江湖》的游戏窗口，通过内存读写的方式盗取用户的帐号信息。
由于同时采取多种盗号方式，病毒作案的成功率得到提高，盗窃成功后，病毒建立远程连接，将赃物发送到木马种植者指定的地址，给用户造成虚拟财产的损失。
二、“AUTO下载者110592”（Win32.Troj.undef.110592） 威胁级别：★★
病毒进入系统后，在系统盘中生成多达27个病毒文件，除了%WINDOWS%\system32\目录下的ntfs.dll和%WINDOWS%\system32\drivers\目录下的plmm.txt，其余都是%WINDOWS%\system32\drivers\目录下以1至25数字为名称的.txt格式文本文件。
病毒文件释放完毕后，迅速在用户系统的%WINDOWS%\system32\目录下查找并替换WINDOWS系统中负责管理程序启动顺序的进程userinit.exe。替换完成后，病毒就能随系统自动启动，同时也可保护病毒文件不被删除。
接着，病毒悄悄连接网络，从网上下载其它病毒程序到用户电脑中运行，给用户的系统安全带来更大的威胁。此外，病毒会在各磁盘分区中生成AUTO病毒文件autorun.inf及病毒程序的副本，当用户双击打开含毒分区时，会再次激活病毒程序。如果用户在中毒电脑上使用U盘等移动设备，病毒会将其传染，借以扩大自己的传播范围。
金山反病毒工程师建议
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。
金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年1月27的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。
希望金山工作者继续努力，研制新的杀毒软件，遏制病毒，
我今天中了AUTO了~用2008金山和木马清道夫给摆平了~
~~谢谢金山
标签：