瑞星一周播报（2006.7.3—2006.7.9）

　　近日，一个名为“代尔夫蠕虫变种IH（Worm.Mail.Delf.ih）”的病毒正通过电子邮件传播。病毒邮件伪装为“世界杯趣味新闻”，用户运行邮件附件后就会中毒。

本周关注病毒：代尔夫蠕虫变种IH（Worm.Mail.Delf.ih）警惕程度 ★★★☆

　　这是一个借用世界杯名义传播的邮件蠕虫病毒，病毒邮件的内容为：“Crazy soccer fans killed two teens, watch what they make on photos……” （疯狂的球迷杀死了两名青少年，请看照片 …… ）、“Nudists are organising their own tribute to the world cup, ……. Good photos”（裸体主义者正在用自己的方式向世界杯致敬 …… 不错的照片）等，邮件的附件即为病毒，用户运行附件后被感染。

专家建议

1、应该注意提防有关世界杯消息的可疑电子邮件，和通过聊天工具传送的网站链接等；

2、有的病毒在预览邮件时就会发作，因此要打开杀毒软件的实时监控功能；

3、应注意及时升级自己的杀毒软件，并给自己的电脑打好系统补丁。

出处：瑞星公司

新病毒窃取北京ADSL密码 网通电信用户皆受害

　　6月23日，瑞星全球反病毒监测网截获两个窃取ADSL用户密码的木马病毒，并分别命名为 “ADSL窃密者变种C/D(Trojan.PSW.ADSL.c/d)”病毒。据瑞星反病毒专家介绍说，这两个病毒专门针对北京ADSL用户编写，分别冒充北京网通和北京电信的ADSL密码自服务网页。病毒在当用户上网的时候自动弹出假页面，诱骗用户填写自己的密码，然后保存下来，可能造成用户的密码泄露。

　　反病毒专家表示，目前截获的病毒只有窃取密码的功能，而没有病毒传播和发送窃取密码的模块。这意味着，该病毒要实现完整的功能，可能需要多个不同功能的模块，从而增加反病毒软件查杀的难度，或者黑客们可能通过攻陷某些网站来散布该病毒。

　　反病毒专家还提醒北京ADSL用户，当上网的时候，如果没有点击网通或者电信的相关网站，电脑上自动弹出要求修改ADSL密码的网页，那就可能已经中毒，最好向专业厂商求助。

电子邮件标题为数字，警惕！

　　如果你收到的电子邮件标题只是一个数字，那么这可能就是一封病毒邮件。上海市信息化服务热线23日发布预报说，这种名为“恶鹰变种RZ”的病毒正在网上传播。

　　该蠕虫病毒会自动搜集邮件地址，向这些地址发送大量携带病毒的邮件，其主题为01、02 、05等类似数字，同时邮件中包含07.zip、04.zip等类似名字的附件。用户电脑中毒后，会出现运行减慢症状，该带毒邮件的泛滥还可能造成局域网阻塞。

新型病毒“三害”集一身

　　近期网监部门截获了一种名为威金蠕虫变种BO（Worm.Viking.bo）的病毒。目前哈市近千名网络用户遭到这种病毒的攻击。

　　据了解，这种病毒集文件型病毒、蠕虫病毒、病毒下载器于一身，传播能力极强，能够感染Windows可执行文件，并会查找局域网中的所有共享计算机，尝试猜解它们的密码，试图感染这些计算机。该病毒还会自动在后台下载并运行“西游木马”等电脑病毒，窃取网络游戏玩家的账号和密码并发送给黑客。同时，该病毒还会下载一个QQ病毒，自动向用户的QQ好友发送。网监部门提醒用户，及时更新杀毒软件，以防病毒侵袭。

关注病毒酷波变种和假补丁变种

　　在今天的病毒中Backdoor/Codbot.ar“酷波”变种ar和Trojan/Patched.ah“假补丁”变种ah值得关注。

　　病毒名称： Backdoor/Codbot.ar

　　中 文 名： “酷波”变种ar

　　病毒长度：可变

　　病毒类型：后门

　　危害等级： ★★

　　影响平台： Win 9X/ME/NT/2000/XP/2003

　　Backdoor/Codbot.ar“酷波”变种ar是一个开启特定的IRC通道，利用微软漏洞进行传播的后门。“酷波”变种ar运行后，在系统目录下创建病毒副本TrkWksvc.exe。修改注册表，实现该后门在Windows安全模式下自动加载。在TCP 6556端口开启后门，连接黑客指定站点，侦听黑客指令，记录键击，盗取用户密码等机密信息，利用微软漏洞（MS03-026，MS03-007， MS02-061）进行传播等。另外，“酷波”变种ar还可以从黑客指定站点下载特定文件。

　　病毒名称： Trojan/Patched.ah

　　中 文 名： “假补丁”变种ah

　　病毒长度： 20480 字节

　　病毒类型：木马

　　危害等级： ★★

　　影响平台： Win XP

　　Trojan/Patched.ah“假补丁”变种ah是一个利用微软MS04-011漏洞进行传播的木马。“假补丁”变种ah运行后，自我复制到系统目录下，文件名随机生成，后缀是.exe。修改注册表，实现开机自启。在临时文件夹下释放 .dll 文件（“假补丁”变种ah），文件名随机生成，扩展名是 .tmp 。将 .dll 文件注入到Explorer.exe的进程中，终止系统目录下.exe 病毒文件的进程。侦听黑客指令，连接指定站点，下载并运行特定文件，盗取用户计算机上的机密信息。搜索有漏洞的Windows XP的用户计算机，一经发现便在被感染的计算机上下载并执行蠕虫副本，利用微软MS04-011漏洞进行传播。另外，“假补丁”变种ah还可以利用被感染计算机转发垃圾邮件。