客服电话：400 610 7777
“网游盗号木马397312”（Win32.Troj.vaklik.397312），这是一个可盗取多个网络游戏帐号的木马下载器。它具备一定的对抗能力，会查找并关闭一些主流安全软件的进程。病毒注入系统进程，搜索电脑中已安装的网络游戏，然后下载相应的的盗号木马执行盗号。
“完美世界盗号木马98304”（Win32.RiskWare.AgentT.m.98304），这是一款盗窃网游《完美世界》帐号的木马。它会破坏用户电脑上卡巴斯基和瑞星的正常运行，然后利用读取内存的方式盗取游戏帐号，并发给病毒作者。
一、“网游盗号木马397312”（Win32.Troj.vaklik.397312） 威胁级别：★
这个下载器比较“聪明”，它根据用户电脑上安装游戏的不同，来下载相应的盗号木马，从而提高作案成功率。
病毒在进入系统后，会枚举当前系统内进程，当发现指定安全工具进程，便强行结束这些进程，该病毒的黑名单中包含了主流的多款杀毒软件，但经毒霸反病毒工程师检查，由于技术含量不高，病毒的这一攻击无法成功。
同时，病毒创建线程监视系统窗口，如果发现杀毒软件弹出提示窗口，通过发送关闭消息和模拟鼠标点击来使杀软放行。
习惯手动查杀的用户，可在系统%windows%\Fonts\目录下找到病毒释放的文件codoor0.dll。该文件创建时间设置的和系统文件explorer.exe一致，以隐藏自身。文件还会被用来在注入explorer.exe进程，监视系统内的游戏进程，将信息记录到%WINDOWS%\system32\目录下的game.ini文件中。
然后，病毒连接病毒作者指定的服务器，上传游戏信息，根据游戏进程的不同，服务器会提供下载相应的盗号木马，执行盗号行为。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-vaklik-397312-50577.html
二、“完美世界盗号木马98304”（Win32.RiskWare.AgentT.m.98304） 威胁级别：★
这个盗号木马在执行盗号之前，会先搜索杀入软件卡巴斯基和瑞星的进程，将它们的主动防御提示关闭，使得它们即便探测到系统受到入侵，也无法向用户报告。
接着，病毒删除自己的原始文件，销毁证据，让用户不易发现电脑里出现多余的文件。同时，它注入系统桌面进程exrplorer.exe，搜寻网络游戏《完美世界》的进程，注入其中，读取游戏内存，从中获取游戏帐号和密码，并发给病毒作者，给用户带来虚拟财产的损失。
习惯手动杀毒的用户，可在系统盘中找到病毒释放出的两个文件，分别为%WINDOWS%目录下的cmdbcs.exe，以及%WINDOWS%system32\目录下的cmdbcs.dll，前者是病毒主文件，会被写入注册表启动项，使病毒实现开机自启动。而后者是用来注入进程，执行盗号的文件。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-riskware-agentt-m-98304-50578.html
金山反病毒工程师建议
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。
金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年5月3的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。
标签：