协议分析网

 作者：GonNa 

　　在今天的病毒中Backdoor/IRCBot.ez“IRC波”变种ez、TrojanSpy.Haxspy.i“黑客间谍”变种i和Trojan.PSW.Lmir.atc“传奇终结者”变种ATC值得关注。

　　病毒名称：Backdoor/IRCBot.ez
　　中 文 名：“IRC波”变种ez     
　　病毒长度：可变
　　病毒类型：后门
　　危害等级：★★
　　影响平台：Win 9X/ME/NT/2000/XP/2003

　　Backdoor/IRCBot.ez“IRC波”变种ez是一个利用Kazaa共享及mIRC传播的后门。该后门不仅传播给已经感染后门的用户计算机，而且利用密码字典破解弱密码进行网络共享传播。“IRC波”变种ez运行后，自我复制到系统目录下。修改注册表，实现开机自启。在Kazaa上创建共享目录，利用某些常用软件的名称自我复制到Kazaa共享目录下，欺骗他人下载。连接指定的IRC服务器，侦听黑客指令，上传或下载升级文件，终止某些杀毒软件的进程，对指定目标执行DoS攻击等。在已开启的窗口中搜索与网上银行、在线支付相关的字符串，一经发现便开始记录键击，盗取用户账号密码，并禁止用户通过合法账号进行在线交易。利用密码字典破解弱密码共享，自我复制到共享目录下，进行网络共享传播。该后门还利用多个微软漏洞进行传播。另外，“IRC波”变种ez释放另一病毒，隐藏自我，防止被查杀。

　　病毒名称：TrojanSpy.Haxspy.i
　　中 文 名：“黑客间谍”变种i     
　　病毒长度：21952字节
　　病毒类型：木马
　　危害等级：★
　　影响平台：Win 9X/ME/NT/2000/XP/2003

　　TrojanSpy.Haxspy.i“黑客间谍”变种i是一个间谍类木马，盗取用户账号密码等机密信息，并将机密信息发送给黑客。“黑客间谍”变种i运行后，在系统目录下创建病毒文件。修改注册表，实现开机自启。侦听黑客指令，在被感染的计算机上创建一个服务。黑客利用该服务来盗取用户账号密码等机密信息，并将机密信息发送给黑客。另外，“黑客间谍”变种i还可以利用rootkit隐藏自我，防止被查杀。

　　病毒名称：Trojan.PSW.Lmir.atc
　　中 文 名：“传奇终结者”变种ATC
　　病毒类型：木马
　　危害等级：★★★
　　影响平台：Win 9X/NT/2000/XP

　　该病毒运行后复制自身到系统目录下，文件名为“winmer.exe”。同时会在注册表中添加名为“KernelCheck”的启动项目，以实现随系统启动自动运行。病毒会关闭内存中的杀毒软件，使这些软件运行不正常。病毒会窃取《传奇》游戏玩家的用户名、密码、登陆服务器、用户所属区域等信息并发送到黑客指定的信箱中。

 注：此文是根据金山和瑞星公司的病毒播报摘编。