黑客利用HOOK技术窃取雅虎通及雅虎网站信息

江民今日提醒您注意：在今天的病毒中Win32/Expiro.a“IE劫匪”变种a和Trojan/PSW.YahooPass.g“雅虎窃贼”变种g值得关注。

病毒名称：Win32/Expiro.a

中 文 名：“IE劫匪”变种a

病毒长度：175616字节

病毒类型：感染型病毒

危险级别：★★

影响平台：Win 9X/ME/NT/2000/XP/2003

Win32/Expiro.a“IE劫匪”变种a是“IE劫匪”感染型病毒家族的最新成员之一，采用高级语言编写。“IE劫匪”变种a运行后，在被感染计算机系统的临时文件夹下释放3个病毒文件并加载运行。修改hosts文件，阻止用户对某些安全站点的访问。遍历被感染计算机的磁盘，感染除某些指定程序以外的绝大部分*.exe文件。一旦用户运行了被感染的*.exe文件，“IE劫匪”变种a与真实文件一起运行，使用户无法察觉到病毒的存在。由于感染的文件众多，用户计算机一旦感染了该病毒，很有可能无法清除干净。在被感染计算机系统的后台连接骇客指定站点，下载恶意程序。其中，所下载的恶意程序可能是窃取网络游戏帐户的木马、广告程序、后门等，给被感染计算机用户带来不同程度的损失。另外，“IE劫匪”变种a还可能会感染某些指定目录下的*.asp文件和*.htm文件，利用这些文件进行网页挂马。

病毒名称：Trojan/PSW.YahooPass.g

中 文 名：“雅虎窃贼”变种g

病毒长度：48608字节

病毒类型：木马

危害等级：★

影响平台：Win 9X/ME/NT/2000/XP/2003

Trojan/PSW.YahooPass.g“雅虎窃贼”变种g是“雅虎窃贼”木马家族的最新成员之一，采用VB 6.0编写，并且经过加壳保护处理。“雅虎窃贼”变种g运行后，会自我复制到“%SystemRoot%\system32\”目录下，重新命名为“syschost.exe”。修改注册表，实现木马开机自动运行。自我复制到“%SystemRoot%\”目录下，重新命名为“sysinfo.exe”，并将文件属性设置为：系统、隐藏、存档。在被感染计算机系统的后台利用HOOK等技术盗取即时通讯工具“雅虎通”和“雅虎网站”用户的登陆帐号、登陆密码等资料，并在被感染计算机后台将窃取到的这些信息发送到骇客指定的远程服务器站点上，给用户带来损失。

针对以上病毒，建议广大电脑用户：

1、请立即升级江民杀毒软件，开启新一代智能分级高速杀毒引擎及各项监控，防止目前盛行的病毒、木马、有害程序或代码等攻击用户计算机。

2、江民KV网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。

3、江民杀毒软件的虚拟机脱壳技术，针对目前主流壳病毒进行虚拟脱壳处理，有效清除“壳病毒”。

4、全面开启BOOTSCAN功能，在系统启动前杀毒，清除具有自我保护和反攻杀毒软件的恶性病毒。