【51CTO.com 綜合報道】總體上本周病毒狀況比較平靜，未發現嚴重危害的新型病毒，病毒感染數量以及捕獲的病毒樣本數量相對于前一周都有較大程度下降。當前病毒主要以如下方式進行傳播，請廣大用戶注意預防：網站掛馬、微軟MS09-002、MS08-067系統漏洞、Sina UC漏洞、Realplayer漏洞、移動硬盤傳播。

本周關注的新病毒：
蠕蟲病毒Win32.Fruspam.Family
其它名稱：W32.Ackantta@mm (Symantec), Trojan.Win32.Buzus (Kaspersky), Mal/CryptBox (Sophos), Win32/Fruspam!generic, Worm:Win32/Prolaco (MS OneCare), Hacktool.Spammer (Symantec), W32/Xirtem@MM (McAfee)
病毒屬性：蠕蟲病毒 
危害性：中等

病毒特性：
 Win32/Fruspam是一個利用內置的SMTP引擎群發垃圾郵件蠕蟲家族。它的目標系統是運行IIS的服務器，也可以通過U盤和點對點網絡傳播。

感染方式：
運行后，Win32/Fruspam. 會使用以下任意文件名復制自己到%System%目錄中：
javaload.exe、javare.exe、javarun.exe、jushed.exe

它還能生成以下惡意文件：
%System%\<8 random characters>.dll -檢測出是Win32/Vundo.BZO病毒
%System%\.dll -檢測出是Win32/Vundo variant病毒
%System%\javaee.exe -檢測出是Win32/Fruspam.I病毒
%System%\javame.exe -檢測出是Win32/Fruspam.I病毒
%System%\javame4.exe -檢測出是Win32/Fruspam.J病毒
%System%\javase.exe -檢測出是Win32/Fruspam.I病毒
%System%\javase4.exe -檢測出是Win32/Fruspam.J病毒
%System%\jqs.exe -檢測出是Win32/Fruspam.A病毒
%System%\mf.exe -檢測出是 Win32/CInject.S病毒
%System%\mlJAqpqo.dll -檢測出是Win32/Vundo.CGP病毒

修改以下注冊表鍵值，以便在系統啟動時運行：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

創建的執行名稱可能是：
F-Secure Email Security ；Sun Java Updater ；SunJavaUpdater

傳播方式：
通過郵件傳播
Win32/Fruspam 通過郵件傳播。它從以下合法的網站下載圖片，并使用這些圖片生成垃圾郵件。

h**p://www.hallmark.com/wcsstore/HallmarkStore/images/
h**p://www.hallmark.com/wcsstore/HallmarkStore/images/globalNav
h**p://www.huxleyengineering.com/css/
…
h**p://www.thecoca-colacompany.com/
h**p://www.thecoca-colacompany.com/css/

Fruspam蠕蟲發送的電子郵件有以下特征

標題例子：
IKEA's New Planning Software；Job offer from Coca Cola!；Thank you for your application；You've received A Hallmark E-Card!

發件人例子：
HomePlanner@IKEA.com；hr@coca-cola.com；hr@huxley.com；hr@jobs.com；postcards@hallmark.com

附件名例子：
copy of your CV.zip；copy of your application.zip；ikea.zip；job-application-form.zip；postcard.zip

病毒發送垃圾郵件的例子：

圖1

它使用遠程SMTP服務器發送垃圾郵件到這些郵件地址。病毒執行DNS MX (mail exchanger)查詢，為每個域找到適合的郵件服務器來發送郵件。

通過點對點網絡傳播
Win32/Fruspam.J還會通過點對點軟件進行傳播。 它會復制到包含"DownloadDir"和"ProgramFiles"字符串的目錄中，或者復制到以下P2P軟件的共享目錄中：
C:\Downloads\
C:\program files\emule\incoming\
C:\program files\grokster\my grokster\
C:\program files\icq\shared folder\
C:\program files\limewire\shared\
C:\program files\morpheus\my shared folder\
C:\program files\tesla\files\
C:\program files\winmx\shared\

復制文件名包括：
Absolute Video Converter 6.2.exe
Acker DVD Ripper 2009.exe
Ad-aware 2008.exe
…
Wow WoLTk keygen generator-sfx.exe
Youtube Music Downloader 1.0.exe
xbox360 flashing tools and guide including bricked drive fix.exe

通過文件替換傳播
如果被感染系統上運行了一個帶有IIS (Internet Information Services)的web服務器，Win32/Fruspam.J就會將合法的IIS文件%Root%\inetpub\wwwroot\index.htm修改或替換為帶有病毒的.htm文件。
修改的HTML 頁面，加載時會顯示如下內容：

圖2

如果用戶點擊了"MS09-067" 鏈接，就會運行蠕蟲文件%Root%\inetpub\wwwroot\ms09-067.exe。

通過U盤傳播
蠕蟲在每一個可移動磁盤中創建一個如下名稱的目錄, 設置該系統屬性只讀，隱藏：
RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542 并生成redmond.exe
在根目錄創建 “Autorun.inf ”。

Fruspam蠕蟲危害：
規避系統防火墻設置
Fruspam 變種修改注冊表鍵值規避Windows防火墻設置，將病毒文件添加到授權軟件中

下載并執行任意文件
Win32/Fruspam.也下載其他惡意程序，例如從以下站點下載Win32/Vundo變種：
aesezvbvzl.com//xckhdrr/
childhe.com//apstpldr.dll.html

修改Hots文件
Win32/Fruspam變種修改Hosts文件，以阻止訪問某些安全網站。修改后的Hosts文件包含以下行：

127.0.0.1 aladdin.com
127.0.0.1 authentium.com
127.0.0.1 avast.com
127.0.0.1 avg.com
127.0.0.1 avp.com
127.0.0.1 bitdefender.com
127.0.0.1 ca.com
…
127.0.0.1 www.virus-buster.com
127.0.0.1 www.viruslist.com
127.0.0.1 www.virustotal.com

本周的一些其他常見病毒：

VBS/Gamepass!generic家族
游戲盜號木馬程序的腳本激活部分，主要注入到網站代碼，當用戶瀏覽時被執行。

特洛伊病毒Win32.SillyDl 家族
一種木馬下載器，通過Internet Explorer瀏覽器或者其它的特洛伊下載器安裝到用戶系統。近期的Win32.SillyDl.GRX新變體（國內名稱為“貓癬”或“犇牛”）具有反安全軟件功能，有較大危害。（本周仍然發現有新的變體出現，主要特征是生成USP10.DLL文件）

特洛伊病毒Win32.Wowpa.Fj|FR
本周出現變體較多的一個家族；這是一種記錄按鍵的木馬程序，它一般是被其它惡意軟件安裝。它嘗試盜竊與Massively Multiplayer Online Role Playing Game (MMORPG) "World of Warcraft"游戲相關的用戶名和密碼。

JS/SillyDLScript.FO/GL
IE漏洞腳本病毒，部分變體為ie7ms09-002漏洞相關腳本；利用IE執行后執行shellcode代碼，通常下載其他有害程序。

JS/RealExpolit.C
針對realplay漏洞的腳本病毒。

特洛伊病毒Win32.SillyDl 家族
一種木馬下載器，通過Internet Explorer瀏覽器或者其它的特洛伊下載器安裝到用戶系統。此家族近期變體較多，很多變體即國內的“犇牛”。

Win32/Dogbab!generic
新出現的盜號類木馬程序；暫無詳細資料；

JS/CVE-2009-0075!exploit
利用ms09-002漏洞的腳本掛馬程序；
 
Win32/Gamepass.VE|VF|WD|ZT等
網游盜號類木馬家族，是去年以來一直較為活躍的木馬，且一直在出現新的變體。

Win32/QQPass.ZO/BJ/
帳號盜竊木馬程序，有鍵盤輸入記錄功能，病毒作為一個Browser Helper Object安裝。

其他近期新病毒的資料可參考：
http://www.kill.com.cn/product/bingdujieshao/index.asp

安全防范建議：
1、對于個人PC，重要的系統補丁應及時安裝；對于企業用戶，應加強補丁管理意識，尤其對服務器等重要系統應盡早安裝；
2、不訪問有害信息網站，不隨意下載/安裝可疑插件，并檢查IE的安全級別是否被修改；
3、使用KILL時注意及時升級到最新的病毒庫版本，并保持時時監視程序處于開啟狀態；
4、不要隨意執行未知的程序文件；
5、合理的配置系統的資源管理器（比如顯示隱含文件、顯示文件擴展名），以便能夠更快地發現異常現象，防止被病毒程序利用。