5月4日病毒播报：需谨慎防范伪程序”变种chm和“系统杀手”变种bmh
中国IDC评述网05月04日报道：在今天的病毒里，需要谨慎防范“伪程序”变种chm和“系统杀手”变种bmh。
英文名称：Trojan/Antavmu.chm
中文名称：“伪程序”变种chm
病毒长度：58028字节
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：9d679c4f833462dc355d471cf918f7a6
特征描述：
Trojan/Antavmu.chm“伪程序”变种chm是“伪程序”家族中的最新成员之一，采用高级语言编写，经过加壳保护处理。“伪程序”变种chm运行后，会读取指定文件“CONIN$”和“CONOUT$”。自我复制到被感染系统的“%SystemRoot%system32Setup”文件夹下，重新命名为“svchost.exe”。然后打开服务：“ FSMA”、“FSFW”、“ZoneAlarm”、“kmxbig”、“sfilter”、“MpsSvc”、“fsbts”、“kmxfile”、“klpid”、“OutpostFirewall”、“WinDefend”、“kmxagent”、“kmxcfg”、“kmxfw”、“SmcService”、“F-Secure Gatekeeper”、“kmxndis”、“F-Secure Recognizer”、“Norton Antivirus Service”、“ FSDFWD”、“lnsfw1”、“F-Secure Gatekeeper Handler Starter”、“sharedaccess”、“klif”、“vsmon”、“F-Secure HIPS”、“Panda Antivirus”、“vsdatant”、“McAfee Framework Service”、“UmxPol”等。搜索注册表，删除大多数安全软件的启动项键值，从而达到自我保护的目的。“伪程序”变种chm运行时，会在被感染系统的后台连接骇客指定的URL“ntci*ndation.ca/aff/script.php?magic=437153110006&ox=2-5-1-2600&tm=60&id=-1&cache=0826356259”，秘密下载恶意程序到被感染系统中并自动调用运行。这些恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，会给用户造成不同程度的损失。另外，“伪程序”变种chm会在被感染系统中注册名为“svchost32”的系统服务，以此实现自动运行。
英文名称：Trojan/AntiAV.bmh
中文名称：“系统杀手”变种bmh
病毒长度：277504字节
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：b51fb02b7bf8e7c43fed59b574e4f6e2
特征描述：
Trojan/AntiAV.bmh“系统杀手”变种bmh是“系统杀手”家族中的最新成员之一，采用“Borland Delphi 6.0 - 7.0”编写，经过加壳保护处理。“系统杀手”变种bmh运行后，会自我复制到被感染系统的“%programfiles%Windows NT”文件夹下，重新命名为“SERVICES.EXE”。其会在被感染系统的“%SystemRoot%system32”文件夹下释放经过加壳保护的恶意DLL组件“ACE.dll”。遍历当前系统运行的所有进程，一旦发现某些安全软件的进程存在，便会尝试将其结束，致使被感染系统失去安全软件的防护。“系统杀手”变种bmh运行时，会将释放的恶意DLL组件“ACE.dll”插入到系统桌面程序“explorer.exe”等进程中隐秘运行。后台执行相应的恶意操作，以此隐藏自我，防止被轻易地查杀。在被感染系统的后台秘密监视用户的键盘和鼠标操作，伺机窃取用户输入的机密信息，并在后台将窃得的信息发送到骇客指定的站点或邮箱中（地址加密存放），给被感染系统用户造成了不同程度的损失。“系统杀手”变种bmh在运行完成后会创建批处理文件“$$cD.tmp.bat”并在后台调用执行，以此将自身删除。另外，“系统杀手”变种bmh会通过在被感染系统注册表启动项中修改登陆初始化内容实现自动运行。
资料来源：江民科技
