“茶苑盗号者69632”（Win32.PSWTroj.GameOL.69632），这是一个盗号木马。它在注册表中创建自动启动项，然后注入系统桌面进程，盗取《魔兽世界》、《游戏茶苑》等网络游戏的帐号信息，并把盗取所得的信息发送至指定的接收网址。

　　“蠕虫下载器18944”（Worm.Delf.el.18944），这是一个木马下载器。它会修改系统时间，使杀毒软件“卡巴斯基”失效，同时把自己伪装成卡巴斯基7.0的服务程序，然后在后台悄悄下载大量的木马病毒文件。此病毒还会在所有磁盘分区的根目录下创建AUTO病毒，以便传播自己。

　　一、“茶苑盗号者69632”（Win32.PSWTroj.GameOL.69632） 威胁级别：★

　　这个病毒会利用下载器下载或捆绑文件等方式混入用户的电脑系统，然后释放出两个病毒文件。分别是%WINDOWS%目录下的fmsbbqi.exe，以及%WINDOWS%\system32\目录下的fmsbbqi.dll。Fmsbbqi.exe是病毒主文件，会被写入注册表启动项，以实现开机自启动。而fmsbbqi.dll是负责盗号的文件。

　　病毒在顺利运行起来后，将fmsbbqi.dll注入到系统桌面进程explorer.exe，展开全局监视，查找游戏窗口名为“ElementClient Window”的网络游戏，以及《魔兽世界》和《游戏茶苑》的进程。发现后注入其中，盗取帐号和密码等信息。

　　当盗窃成功，病毒便在后台悄悄廉静儿病毒作者指定的远程地址http:/ /www.ck****6.com，将赃物发送过去，给用户造成虚拟财产的损失。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-pswtroj-gameol-69632-50573.html

　　二、“蠕虫下载器18944”（Worm.Delf.el.18944） 威胁级别：★

　　这个利用AUTO文件进行传播的病毒，近来传播趋势较高。

　　病毒进入用户的系统后，会把自身病毒文件ad_2516.exe和Transfer Sebvice.exe复制到系统盘的%WINDOWS%\system32\目录下，并将其属性设为系统隐藏文件，以免被用户发现。紧接着，它就搜索杀毒软件卡巴斯基的进程，如果找到，立即修改系统时间为1981-01-12，导致卡巴斯基失效，然后，病毒就会试图删除卡巴斯基的服务。

　　病毒修改系统注册表，把自己的相关信息加入启动项。同时，它还会伪装成卡巴斯基7.0的服务程序。从修改时间时算起，15秒后病毒恢复正确的系统时间，这样，病毒就顺利替换了卡巴的，而用户一无所知。

　　病毒顺利地开始运行后，在后台建立远程连接，从木马作者指定的地址http://xxx.a***55.com/txt071217/下载大量其它木马文件，并立刻运行它们。同时，病毒将自身文件Transfer Sebvice.exe复制到各磁盘的根目录下，并创建autorun.inf文件，只要用户在中毒电脑上使用U盘等移动存储器，病毒就会立刻将其传染，扩大感染范围。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/worm-delf-el-18944-50574.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

　　金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年5月1的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。

• 2008-11-1011.10病毒预警：“扫荡波”超强攻击 蠕虫下载器