网络信息安全是一个博大精深的技术体系，安天将自己的注意力专注于主要矛盾，即计算机网络病毒问题。
    根据有关机构统计，全球超过80%的安全事件均与病毒有关，网络病毒是信息社会面临的主要安全挑战之一，因此，安天人将“天下无毒”作为自己追求的安全境界。
    安天将网络安全工作者的宏观视野与反病毒工程师的成熟细腻有机结合。将反病毒技术与网络监控技术、计算机犯罪取证技术、安全评估技术等进行了有机的结合，形成了自身的产品内涵。
  当前位置：首页 - 安全响应中心 -> 病毒预警

安天实验室12月28日病毒预警
出处：安天实验室 时间：2009年12月28日
 

一、“大话木马”（Trojan/Win32.WOW.vno[Stealer]） 威胁级别：★★★★

    该病毒文件为大话西游游戏盗号木马，病毒运行后创建t322025.ini到%System32%目录下，衍生随机病毒名文件到临时目录下，遍历进程查找AVP.EXE进程，如果进程存在则拷贝rundll32.exe一份重命名为t322025.exe，调用CMD命令使用被重命名的t322025.exe文件（原文件名rundll32.exe）启动临时目录下的病毒文件，如进程不存在则直接使用rundll32.exe启动临时目录下的病毒文件，临时目录下的病毒文件被启动后对进程进行提权操作，判断自身进程是否为svchost.exe，如不是则退出，如是则衍生病毒DLL文件到%System32%目录下，拷贝rpcss.dll系统文件为t3rpcss.dll，将病毒DLL文件注入到EXPLORER.EXE进程中，病毒DLL查找含有大话西游标题和xy2_ex.exe进程的窗口，安装消息钩子截取游戏账号密码通过URL方式将账号信息发送到作者指定的地址中。

二、“控制者”（Trojan/Win32.Agent.yep[Dropper]） 威胁级别：★★★★

    该病毒文件为后门类木马，病毒运行后查找名为DVCLAL内的DLL类型的资源，找到后Load该资源信息，在病毒当前目录下衍生病毒DLL文件并将属性设置为隐藏，Load病毒DLL文件，调用病毒DLL的Install模块，遍历进程查找AVP.EXE找到后加载sfc_os.dll文件去掉对beep文件的修改提示，先将系统的beep.sys文件改名为beep.sys.tep释放beep.sys驱动文件到%drivers%目录下替换现有的文件，改驱动文件恢复SSDT绕过卡巴斯基主动防御，比较自身DLL进程路径是否为%System32%目录下的winnet.dll文件，如不是则将自身拷贝到该目录下命名成winnet.dll，添加注册表服务启动项，开启一个SVCHOST.EXE进程将病毒代码注入到该进程中连接网络进行通信，被控制的计算机会被控制者完全控制，病毒运行完毕后删除自身原文件。

安天反病毒工程师建议

    1.最好安装安天防线防范日益增多的病毒。用户在安装反病毒软件之后，应将病毒监控功能打开、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。
    2.安天反病毒应急中心及时进行了病毒库更新，如未安装安天防线请点击此处(http://www.antiyfx.com)免费下载最新版安天防线来防止病毒入侵。