05.21病毒快报:天眼广告控制后门

　“漏洞下载器9423”（JS.Agent.nl.9423.9423），这是一个木马下载器。它利用系统MS06-014漏洞，以及“百度搜霸工具条、“暴风影音”、迅雷等第三方软件漏洞来实现下载行为。

　　“天眼广告750630”（Win32.LwyPack.ab.750630），这个病毒是个远程控制后门，它伪装成正常文件，诱骗用户点击，运行后注入IE进程，弹出广告窗口，并建立远程控制后门，便于黑客窃取本机资料或者做其他操作。

　　一、“漏洞下载器9423”（JS.Agent.nl.9423.9423） 威胁级别：★★

　　这个病毒是一个恶意脚本，它主要是利用网页挂马和捆绑在视频文件中进行传播。近来毒霸反病毒工程师多次发现该病毒的一系列变种，因此发出预警提醒大家注意.

　　同时该网马还会检测系统中是否安装得有百度搜霸工具条，然后查看其中的BaiduBar.dll文件版本是否为 2.0.2.144)，如是，则利用该版本工具条的漏洞运行起来，在未经用户授权的情况下，连接病毒作者指定的地址http://xxx.c**bc.net 进行下载，将大量病毒文件引入电脑系统中。

　　毒霸反病毒工程师还发现，该毒也会利用暴风影音、迅雷等软件的安全漏洞进行下载。下载的病毒种类与利用百度工具条漏洞下载的有所不同，但主要种类仍为盗号木马。

　　二、“天眼广告750630”（Win32.LwyPack.ab.750630） 威胁级别：★★

　　这个后门程序具有多个变种，此版本经过了一定的免杀处理，病毒作者对它进行了加密，试图干扰查杀，不过毒霸依然可以清除此毒。

　　它在进入用户系统后，在系统盘%Windows%目录下释放出病毒文件Server.DLL、Server.exe、ServerHooK.DLL。这些文件会被写入系统注册表启动项，实现开机自启动。如果注意检查注册表，可以发现多出了一个TianYan_Server服务项。

　　当病毒运行起来，它就会注入IE浏览器的进程，弹出病毒作者指定的广告窗口，为这些网页刷流量。并且，在用户系统中制造后门，等待病毒作者（黑客）的远程连接。当黑客进入系统后，就能进行他想要的各种操作，

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。