江民：“ARP魔鬼”专攻局域网

一周病毒回顾：（2008.5.19-2008.5.25）

“ARP魔鬼”专攻局域网 “毒瘤”借迅雷漏洞传播

根据江民反病毒中心监测统计，2008年5月19日到2008年5月2  
5日，江民反病毒中心共截获病毒29521种，全国共有617413台计算机感染了病毒，较上周下降了8.72%。

 监测结果显示，本周“穿孔贼”变种（DLL）病毒疫情有所缓解，较上周下降了12.06%，位列病毒排行榜第三位，而“U盘寄生虫”以25780台的感染量重登病毒榜榜首。同时本周最新监测到一能够在局域网中挂马、达到传播其它恶意网站广告或恶意病毒程序等功能的“ARP魔鬼”病毒，该病毒会利用被感染的计算机冒充其所在局域网中的主机网关，然后对其所在的整个局域网络中的计算机进行ARP欺骗攻击等操作。感染了“ARP魔鬼”变种a的局域网会造成网络堵塞，网速变慢，用户（局域网中没有安装ARP防火墙的计算机用户）使用浏览器上网会莫名其妙地弹出广告窗口等，严重干扰用户正常上网和办公等。

 本周还监测到一个利用“迅雷”漏洞疯狂下载恶意程序的“毒瘤” 变种e病毒，该病毒一般会内嵌在正常的网页中，如果用户计算机没有及时安装“迅雷”的相应漏洞补丁，那么当用户访问带有“毒瘤”变种e的恶意网页时，就会下载大量恶意程序并在被感染计算机上自动调用运行。其中，所下载的恶意程序可能为是网游木马、恶意广告程序、后门等，给用户带来不同程度的损失。

 

 本周监测发现共感染计算机617413台，其中木马病毒共感染计算机442152台，占病毒总数的71.6%；其他类病毒共感染计算机60897台，占病毒总数的9.86%；后门类病毒共感染计算机44513台，占病毒总数的7.20%；蠕虫类病毒共感染计算机29401台，占病毒总数的4.76%；漏洞攻击类病毒共感染计算机3298台，占病毒总数的0.53%；脚本病毒感染940台，占病毒总数的0.15%；宏病毒感染38台，占病毒总数的0.01%。

上周值得关注的典型病毒：“ARP魔鬼”变种a和“毒瘤”变种e

病毒名称：Trojan/ARP.a

中 文 名：“ARP魔鬼”变种a

病毒长度：268311字节

病毒类型：木马

危险级别：★★

影响平台：Win 9X/ME/NT/2000/XP/2003

Trojan/ARP.a“ARP魔鬼”变种a是“ARP魔鬼”木马家族的最新成员之一，采用Delphi 6.0 - 7.0编写，并经过加壳处理。“ARP魔鬼”变种a运行后，在被感染计算机系统的“%SystemRoot%\system32\”目录下，释放多个恶意DLL功能组件程序文件，并将文件属性设置为只读、系统、隐藏。在被感染计算机系统的“%SystemRoot%\system32\drivers\”目录下释放一个恶意驱动程序文件“pop.sys”（文件属性为：只读、系统、隐藏）。在被感染计算机系统的后台以服务的方式安装启动恶意驱动程序“pop.sys”，然后利用该恶意驱动程序和其它恶意DLL组件程序在被感染计算机系统的后台执行恶意操作。修改注册表，实现木马开机自动运行。利用被感染的计算机冒充其所在局域网中的主机网关，然后对其所在的整个局域网络中的计算机进行ARP欺骗攻击等操作。“ARP魔鬼”变种a能够在局域网中挂马、达到传播其它恶意网站广告或恶意病毒程序等功能。感染了“ARP魔鬼”变种a的局域网会造成网络堵塞，网速变慢，用户（局域网中没有安装ARP防火墙的计算机用户）使用浏览器上网会莫名其妙地弹出广告窗口等，严重干扰用户正常上网和办公等。

[1] [2]  下一页