5.19病毒快报：办公室伪装者

　5月19日:“伪装下载器27648”（Win32.TrojDownloader.Agent.g.27648），这是一个木马下载器程序。它会修改注册表实现自动运行，如果成功运行起来后，就会从指定的地址下载15个其它木马病毒并运行。

　　“办公室伪装者394240”（Win32.TrojDownloader.Banload.394240），这是个具有伪装性的木马下载器。它给采用MS OFFICE办公软件的word图标，伪装成word主程序，欺骗用户。

　　一、“伪装下载器27648”（Win32.TrojDownloader.Agent.g.27648） 威胁级别：★★

　　该病毒进入系统后，会首先把自身复制到系统盘%WINDOWS%/system32/目录下，改名为liveupdate.exe，同时复制系统中的文件URLMON.DLL，将它改名为lo.dll，也放到%WINDOWS%/system32/目录下。这里需要注意的是，liveupdate.exe这个文件名，乍一看，会以为是系统的升级文件，看来病毒作者是试图以此来蒙骗用户。

　　当病毒成功地将liveupdate.exe加入系统注册表，实现开机自启动后，它就会在用户无法知晓的情况下连接病毒作者指定的地址http://www.l***own.com.cn/img，下载以logo1~15命名的.exe格式文件。

　　经毒霸反病毒工程师检查发现，这些文件都是盗号木马程序，它们的盗号目标是各类热门网游和即时聊天工具。

　　二、“办公室伪装者394240”（Win32.TrojDownloader.Banload.394240） 威胁级别：★

　　此病毒为一个木马下载器，它的狡猾之处在于，它会采用微软 OFFICE办公软件中的word图标，伪装成word主程序欺骗用户忽略它。

　　病毒进入电脑后，复制自身到c:/Documents~1/Administrator/[开始]菜单/程序/启动/word.exe，以及c:/Documents~1/new/[开始]菜单/程序/启动/word.exe目录下，同时修改系统注册表中的相关数据，使病毒可以随系统启动。

　　接着，从E盘开始到I盘，病毒在系统各分区下释放病毒副本，毒霸反病毒工程师判断，这是它在试图建立AUTO文件。但由于技术原因，或者病毒作者的粗心，AUTO文件没能建立。

　　最后，病毒在后台悄悄连接多个挂马网页，下载大量木马文件到用户电脑上执行，引发更多无法估计的安全事件。

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。