客服电话：400 610 7777
“伪装下载器27648”（Win32.TrojDownloader.Agent.g.27648），这是一个木马下载器程序。它会修改注册表实现自动运行，如果成功运行起来后，就会从指定的地址下载15个其它木马病毒并运行。
“办公室伪装者394240”（Win32.TrojDownloader.Banload.394240），这是个具有伪装性的木马下载器。它给采用MS OFFICE办公软件的word图标，伪装成word主程序，欺骗用户。
一、“伪装下载器27648”（Win32.TrojDownloader.Agent.g.27648） 威胁级别：★★
该病毒进入系统后，会首先把自身复制到系统盘%WINDOWS%\system32\目录下，改名为liveupdate.exe，同时复制系统中的文件URLMON.DLL，将它改名为lo.dll，也放到%WINDOWS%\system32\目录下。这里需要注意的是，liveupdate.exe这个文件名，乍一看，会以为是系统的升级文件，看来病毒作者是试图以此来蒙骗用户。
当病毒成功地将liveupdate.exe加入系统注册表，实现开机自启动后，它就会在用户无法知晓的情况下连接病毒作者指定的地址http://www.l***own.com.cn/img，下载以logo1~15命名的.exe格式文件。
经毒霸反病毒工程师检查发现，这些文件都是盗号木马程序，它们的盗号目标是各类热门网游和即时聊天工具。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-agent-g-27648-50613.html
二、“办公室伪装者394240”（Win32.TrojDownloader.Banload.394240） 威胁级别：★
此病毒为一个木马下载器，它的狡猾之处在于，它会采用微软 OFFICE办公软件中的word图标，伪装成word主程序欺骗用户忽略它。
病毒进入电脑后，复制自身到c:\Documents~1\Administrator\[开始]菜单\程序\启动\word.exe，以及c:\Documents~1\new\[开始]菜单\程序\启动\word.exe目录下，同时修改系统注册表中的相关数据，使病毒可以随系统启动。
接着，从E盘开始到I盘，病毒在系统各分区下释放病毒副本，毒霸反病毒工程师判断，这是它在试图建立AUTO文件。但由于技术原因，或者病毒作者的粗心，AUTO文件没能建立。
最后，病毒在后台悄悄连接多个挂马网页，下载大量木马文件到用户电脑上执行，引发更多无法估计的安全事件。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-banload-394240-50614.html
金山反病毒工程师建议
1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。
金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年5月19的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。
标签：