流氓软件现象描述：
1，浏览器首页被修改为“w**.7939.com”，无法修改。
2，感染系统文件，可导致某些系统蓝屏、死机。
3，每周在后台自动升级，对抗查杀。
4，自动根据流氓软件作者指令，更改其它首页地址。
该病毒利用了8月9日微软发布的即插即用中的漏洞（MS05-039），在微软发布安全公告后短短的5天之内即出现该蠕虫，表明病毒作者利用漏洞的能力越来越强。用户电脑感染了该病毒之后，在某些情况下会出现系统频繁重启的现象。同时，该病毒会在用户电脑上开设后门，方便黑客对其进行远程控制。
征途木马是盗取网络游戏“征途”游戏信息的木马，它能把得到的信息通过邮件发送到木马种植者的邮箱中。该免费专杀工具查杀967个征途的木马。
近日，国内三大主流杀毒软件在其主页同时发布了熊猫烧香病毒泛滥成灾的消息。据不完全统计，截止到目前为止，国内感染“熊猫烧香”病毒的企业已接近千家，其中外企用户居多，个人用户更是不计其数。且多家IT门户网站被植'熊猫烧香' 百万网民将受威胁。为防止熊猫烧香病毒进一步扩大，我们收集了国内最新的主流专杀工具（截止2月5日）
金山毒霸熊猫烧香病毒专杀工具V3.7
瑞星熊猫烧香病毒专杀工具V1.10
江民熊猫烧香病毒专杀工具V3.0.7.117
超级巡警之熊猫烧香病毒专杀 V1.8
该文件中包含了所有windows系列的补丁以及金山为此专门制作的杀毒工具。
从文件名即可看出是使用哪个补丁。
近日，江民反病毒中心监测到，“威金”病毒(Worm iking)的多个新变种在互联网上活动较为频繁，已
有多家企业用户报告感染了该病毒并导致整个局域网受到不同程度的破坏。据江民全国病毒疫情监控系统数据
显示，该病毒目前已有188个变种，从2005年5月19日首次出现至今，已经感染了15万余台计算机。
江民反病毒专家分析，“威金”病毒主要通过网络共享传播，病毒会感染电脑中所有的.EXE可执行文件，
传播速度十分迅速。“威金”病毒运行后，修改注册表自启动项，以使自己随系统一起运行，向系统文件目录
下生成以下病毒文件：
Program Filessvhost32.exe
Program Filesmicorsoftsvhost32.exe
windowsexplorer.exe
windowslogo1_exe
windows
undll32.exe
windows
undl132.exe
windowsintel
undl132.exe
windowsdll.dll
病毒新变种还会自动从网站下载“天堂杀手”以及“QQ大盗（QQpass）”等10余种木马病毒，企图盗
取包括天堂、征途、梦幻西游、传奇等多种流行网游以及QQ的帐号、密码。
针对该病毒以及最新变种，江民杀毒软件已及时升级病毒库，用户可以使用最新版杀毒软件对电脑进行
全盘查杀，即可消除病毒威胁。江民反病毒专家特别提醒，对于局域网用户，在杀毒时务必断开网络，以免病
毒在局域网流窜，导致病毒屡杀不绝的现象。单机用户应检查自己的电脑是否存在共享（可使用江民杀毒软件
木马一扫光中“共享管理”功能查看），在全盘杀毒后及时关闭所有共享设置，以免再遭病毒侵扰。为进有效
地清除威金病毒，江民反病毒中心还研发了威金病毒专杀工具，未安装杀毒软件的用户可以免费下载使用，彻
底抵御“威金”病毒。
针对“硬盘杀手”（Worm.Opasoft）病毒的专杀工具。下载工具后直接运行即可。硬盘杀手病毒是利用微软漏洞进行传播，杀毒后请至微软站点下载相应补丁，防止再次感染。更详细的资料请访问瑞星网站“硬盘杀手”（Worm.Opasoft）专题。
专门针对流行病毒恶鹰（Worm.BBeagle）的专杀工具。“恶鹰”病毒会大量消耗被感染计算机的资源，同时大量发送病毒邮件，造成网络阻塞。
该专杀工具可完全清除3448、4199、7939等流氓软件，该类流氓软件是一些更改IE浏览器首页地址的病毒，它们会不断的修改用户IE浏览器的主页，给用户带来极大的不便，并通过HOOK技术隐藏自己。主要有以下特点：
1.文件注册
病毒是一个DLL格式的文件，它利用DLL的一个函数名为Rundll32的函数把自己注册到系统中。
并且把系统中的Rundll32.exe复制一份副本，改名为8yo.exe(随机文件名)
之后病毒把自己复制到以下的地方:
%system%j9zpf.dll(随机文件名)
并释放另外一份病毒文件
%system%driversd3t.sys (随机文件名)
2.更改注册表
病毒会更改以下两处注册表，使自己能依靠Rundll32随Windows启动。
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVerionRun
5v(随机) -> C:WINDOWSsystem32
undll32.exe j9zpf.dll Rundll32
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVerionRun
8yo.exe(随机) -> C:WINDOWSsystem328yo.exe C:WINDOWSsystem32driversd3t.sys Rundll32
3.在QQ的安转目录拷贝病毒文件的一个副本，并替换掉QQ目录下的文件TIMProxy.dll，达到启动病毒的目的。
4.中止指定进程
病毒会不断的检测系统中的窗口，一但发现窗口标题栏上包含以下字符的，
或系统中进程名包含以下字符串的进程时，强行关闭计算机。
字符包括:
kill
3448
7939
4199
360save
专杀
yaass
filemon
regmon
wopticlean
4199_9505
4199 9505
41999505
9505专杀
4199.com/9505.com
icesword
3448专杀
unlocker
killbox
hijack
ollydbg
ewido anti-spyware
taskmgr
5.注入HOOK
两个病毒文件(j9zpf.dll与d3t.sys)会注入到系统中每一个进程的空间，
并使用了HOOK技术，隐藏了病毒添加的注册表项目。
使用户在注册表编辑器或一些用户级的系统软件中无法看到病毒添加的项目。
6.更改IE主页
病毒会不断的更改IE的主页为http://www.3448.com 或http://www.4199.com或http://www.7939.com
严重影响了用户的工作。
冀公网安备 13060902000194号
