现在竟然有可以伪装成反病毒软件的病毒！
5_XV%-wM 5_XV%-wM 冠群金辰全球反病毒监测网近日查获一个新出现的木马病毒Win32/FakeAV.AET，这种新出现的病毒不仅能够感染计算机系统，下载其它恶意软件，最可恨的是它还能够伪装成合法的反病毒软件，自动扫描系统，弹出虚假安全警告信息，伪造虚假扫描结果，并进而转向某个伪造的反病毒安全软件购买页面，要求用户购买该实际上是病毒的“反病毒软件”！
5_XV%-wM 5_XV%-wM 根据KILL反病毒专家介绍，这种木马病毒又叫Trojan:Win32/Tibs.IT(MSOneCare)，它所伪装成的反病毒软件通常自称为“间谍软件保护2009”。它的感染方式为在运行时，Win32/FakeAV.AET在%Windows%目录中生成"Sysguard.exe"文件，然后创建以下注册表键值，使自己在系统启动时能运行：
5_XV%-wM 5_XV%-wM HKCU\Software\Microsoft\Windows\CurrentVersion\Run\systemtool=
5_XV%-wM 5_XV%-wM "%Windows%\sysguard.exe"
5_XV%-wM 5_XV%-wM 同时，它也会在％system％目录中生成“iehelper.dll”恶意DLL文件，然后通过添加注册键值，注册为浏览器帮助程序对象（BHO）。它还为其进程创建以下注册表键值：
5_XV%-wM 5_XV%-wM HKCU\Software\AvScan
5_XV%-wM 5_XV%-wM HKCU\Software\AvScan\id="5.1"（其中的“5.1”可能是该流氓软件的版本号。）
5_XV%-wM 5_XV%-wM 这之后，假冒反病毒软件的“李鬼”就开始在受感染的电脑里活动了。
5_XV%-wM 5_XV%-wM 该“李鬼”反病毒软件的具体活动形式包括：
5_XV%-wM 5_XV%-wM 1．显示虚假威胁信息
5_XV%-wM 5_XV%-wM Win32/FakeAV.AET在任务栏中显示以下气球：
D]hwG0Chd D]hwG0Chd 
D]hwG0Chd D]hwG0Chd 2．假装扫描系统，虚报感染信息
D]hwG0Chd D]hwG0Chd 只要点击气球就会显示流氓软件“间谍软件保护2009”。它会假装扫描系统的恶意软件和虚假报告，并进而发现许多感染。
D]hwG0Chd D]hwG0Chd 
D]hwG0Chd D]hwG0Chd 3．要求购买虚假反病毒软件
D]hwG0Chd D]hwG0Chd 扫描后，它会建议消除假冒感染。只要受感染用户选择“是的，删除威胁”，它就会把用户浏览器重定向到URLspy-protect-2009.com/purchase?r=5.1，该地址显示一些虚假的安全软件购买信息，要求用户购买该“李鬼”反病毒软件的升级版：
D]hwG0Chd D]hwG0Chd 
D]hwG0Chd D]hwG0Chd 这种新的木马病毒除了上面所提到伪装成反病毒软件的“李鬼”本事之外，还有其他的危害，比如会重新定向搜索引擎、下载其他恶意软件下载更多恶意软件、修改Hosts文件等。
D]hwG0Chd D]hwG0Chd KILL反病毒专家提醒广大网民，尽管这种会伪装成反病毒软件的“李鬼”式木马病毒刚刚被发现，目前还不知道会否造成大范围影响，但是鉴于其特殊性，经常使用电脑和上网的大家要注意，记住这种病毒的伪装特征，不要被“李鬼”给忽悠了。
D]hwG0Chd D]hwG0Chd
QQ帐号登录
内容互通，快速登录
