华军每周电脑病毒综合播报

病毒工程师们近日处理的病毒中，就有这么一个见证着爱情的病毒。它是一个黑客后门程序，通过感染EXE格式文件的方式来进行传播。说它与爱情有关，是因为病毒作者会利用这个病毒来传播一个名为WindFlowerSnowMoon.love(中文意思就是“风花雪月”)的文件，用记事本打开后，可以看到这是一封英文情书，病毒作者在信中表达了自己对东北财经大学经济学专业某女生的仰慕，称自己“I fell in love with her at first sight，and I love her very much…..”。

　　整封信看上去很浪漫，但经毒霸反病毒工程师的分析，该病毒除了传播这封情书外，还会在用户电脑中制造一个后门，它随机生成监听端口，等待黑客服务器端的连接。如果黑客进入了用户电脑，就能进行各种他想要的操作，给用户带来无法估计的损失。

　　该病毒的主文件隐藏在系统盘windows目录下，名称是Rundll32.exe。另外，它还将自身拷贝到系统盘%Program Files%文件夹的一些常用软件目录中，例如%Program Files%Internet Explorer、%Program Files%Windows Media Player等目录，在这些目录中，病毒名称为WindFlowerSnowMoon.exe。

　　虽然尚未收到因该病毒而造成损失的报告，可既然它建立后门，对用户的系统安全构成了威胁，那无论如何，毒霸都必须将它查杀。同时，毒霸反病毒工程师告诫病毒作者，尽管程序员多半不善于表达自己的内心，但向女孩子传递爱意的方法还是有许多的，鼓起勇气当面表达的效果也许更好，完全没必要使用这种损害他人系统安全的方法，否则终将触犯法律，害人害己。想一想，有多少女生会喜欢罪犯?

　　4月9日

　　一、“赤水牛”(Win32.Troj.AutoRun.204800) 威胁级别：★★

　　这只“赤水牛”是一个黑客后门程序，它最早于上月中旬进入毒霸反病毒工程师的视野。刚开始时，此毒造成影响范围并不大，但最近却有扩散的趋势，种种迹象表明，有人正在故意散播该病毒。因此，我们就需要了解一下它的破坏过程，以备防范。

　　此病毒进入用户电脑后，在系统盘的%WINDOWS%\system32\目录下释放出病毒文件chiShuiNiu.exe，同时，它将该文件的同名副本与一个AutoRun.inf文件隐藏在系统盘根目录下。只要用户在中毒电脑上使用U盘等移动存储设备，病毒就会立即传染上去，借以传播到别的电脑上。

　　病毒的破坏行动在它释放完文件后立即开始。它首先会修改%WINDOWS%\system32\dllcache\目录与%WINDOWS\%system32\drivers\目录下的系统驱动文件beep.sys，让系统对自己下一步的破坏“敞开大门”。接着，它修改注册表启动项，实现开机自启动。在这个过程中，病毒会映象劫持包括杀毒软件在内的所有可执行文件。

　　完成以上步骤后，如果用户试图运行杀毒软件进行查杀，病毒就会强行关闭杀毒软件，并且阻止用户上网搜寻有关chishuiniu.exe的任何信息。此外，所有牵涉到查寻、阻止、隔离chishuiniu.exe的程序被打开后，都会被强行关闭，连注册表也不能正常打开。可是用户在进程管理器中却看不出任何异常。

　　而这时，病毒已经在系统中创建了后门，等待黑客非法进入，实施各种他想要的操作，给用户带来无法预料的损失和麻烦。但如果已安装了毒霸，就不必担心了。

　　二、“网游盗号者34304”(Win32.Troj.OnLineGamesT.li.34304) 威胁级别：★

　　这个盗号木马可同时盗取多种网络游戏的帐号，并且具有一定的自我保护能力。

　　病毒进入电脑系统后，将自己的DLL格式文件注入当前运行着的各个进程中，然后判断注入的进程名称是否为《剑侠情缘2》(so2game)、《魔兽世界》(WOW.exe)、《征途》(zhengtu.dat)、《破天一剑》(china_login.mpr)等热门网游以及“浩方游戏平台”( gameclient.exe)。如果进程名匹配成功后，病毒就根据不