安天实验室反病毒监测网截获多种新型盗号病毒，与以往不同，这些病毒除了会窃取传奇世界等网络游戏的帐号信息外，还会试图终止杀毒软件和个人防火墙的进程。来躲避查杀。.
 其中的Trojan-PSW.Win32.Lmir.ayx病毒运行后，伪装为记录微软安全更新升级补丁相关信息的LOG文件，以达到隐藏的目的，以正常的LOG文件不同，在病毒的文件名中，含有类似M，I等字符。   无独有偶，病毒分析师最近频繁接到用户报告，发现名为Trojan-PSW.Win32.WOW.da的木马多次出现。接到用户报告后，病毒分析师立即对用户上报的可疑文件样本进行分析，经分析，该类木马具有如下特征：.so>x(
   在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\处添加启动项，名为LSASS.exe等。在受感染的系统中，存在类似%WinDir%\WINLOGON.exe，%WinDir%\SMSS.exe，%WinDir%\LSASS.exe的进程。生成如下名称的病毒文件（变种不同，产生的文件也不同）*f-.i
%WinDir%\1.comU@LO
%WinDir%\SMSS.exe+jS
%WinDir%\SERVICES.exent5
%WinDir%\LSASS.exe}J6
%WinDir%\WINLOGON.exeE
%WinDir%\ExERoute.exe,%5\
%WinDir%\EXPLORER.com7XZ}46
%WinDir%\FINDER.comut
%WinDir%\EXERT.exe^dyN
%WinDir%\IO.SYS.BAKj"J
%WinDir%\Debug\DebugProgram.exen;G1sz
%WinDir%\Shell.sys>5
%WinDir%\Winsock32.DLL.SCFqnUI
%System%\Anskya0.exe3tN1g,
%System%\Anskya1.exe!
%System%\rundll32.com!
%System%\finder.com!:<''}h
%System%\msconfig.com5TSB/
%System%\dxdiag.comy iS
%System%\regedit.comt%mq
%System%\command.pif''wk/}i
%System%\i.comk
%CommonProgramFiles%\intexplore.pif~f-a
%CommonProgramFiles%\inexplore.pif,w
%CommonProgramFiles%\iexplore.pif;+,
%ProgramFiles%\Internet Explorer\Intexplore.com+,f=
%ProgramFiles%\Internet Explorer\Inexplore.com*
%ProgramFiles%\Internet Explorer\iexplore.com"c;r);
%SystemDrive%\bootconf.exe
%SystemDrive%\command.com]O-X
%SystemDrive%\command.exeONTI
%SystemDrive%\pagefile.pifN Fmk
D:\command.comZ>>^|
D:\pagefile.pif*iR"
注:

% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。   联系到近日，国外网络安全公司提供的信息，在国外出现了一种隐蔽性极高的新型木马软件，这种木马不采用传统的发送邮件或HTTP信息包裹的方式来传输盗取的信息，而是通过ICMP（互联网控制信息协议）将盗取的数据传给攻击者，因此具有很高的隐蔽性。>Dt_b
   因为多数防火墙和入侵检测系统，对ICMP的信息包，都认为是正常的信息包，因此此类信息包很容易被放行，因此，这些ICMP信息包包含的经过编码的个人信息，就很容易被传输到攻击者手中。   该木马在受影响的系统中，会绑定IE浏览器，监视系统，当发现用户的敏感信息时，就会窃取这些信息，并传送给攻击者。因此具有极高的危险性。

综上所述，近期，多种新型网络攻击技术开始出现，病毒也开始使用多种新的技术，来躲避查杀。因此，病毒分析师在这里提醒广大用户，及时升级木马防线，并打开实时监控功能，来保障自身的网络安全。bhttp://www.hack58.net/Article/60/64/2006/11744.htm

http://www.hack58.net/Article/60/64/2006/11744.htm