近日病毒大规模肆虐，记者从金山毒霸方面了解到，越来越多的新老病毒开始新一轮的入侵攻击。现今即便是远程后门也具备PE感染功能，即使普通的系统恢复也无法杜绝其二次感染。
另外，AUTO传统病毒也不甘示弱，对移动存储设备具有杀伤力的木马从外部注入计算机，远程控制用户电脑。
“PE远程后门844800”（PE.PECrypt.ze），这是一个PE病毒，它会感染Windows下所有的PE格式文件。病毒作者为病毒代码设置了加密，使病毒特征无法定位，试图以此阻止安全软件对它进行查杀。当它感染完文件后，就会释放出木马文件并执行，在用户电脑上制造后门，便于黑客入侵。
“AUTO病毒15598”（Win32.Troj.AutoRunT.ad.15598），这是一个下载者病毒。它会查找并关闭安全软件的提示窗口。如果用户电脑中安装有杀毒软件卡巴斯基，病毒会修改系统日期，使卡巴失效。然后，它会下载病毒文件，并在系统上的每个磁盘下生成 autorun.inf 文件，扩散自己的传播范围。
一、“PE远程后门844800”（PE.PECrypt.ze） 威胁级别：★
PE的意思是可移植的执行体，即portable executable，这是windows下广泛存在的一个32位的文件格式，PE病毒指的自然也就是感染这类文件的病毒。由于需要自己设置比较复杂的函数调用方式，PE病毒成为一些病毒作者用以炫耀自己技术的产品，在这样的情况下，PE病毒层出不穷。
毒霸的反病毒工程师昨日处理的病毒中，就有一个PE病毒。它传播的方式是随着被感染的文件进入用户电脑，而当用户运行被感染的文件时，就会将其激活。
病毒被激活后，会立即运行起来。它将被感染的文件重新拆成正常文件和自己的病毒文件~ZY7.tmp，并把它们释放到系统临时文件夹中运行。由于文件会正常运行，用户一般难以发现自己电脑已经中毒。而这时，那个独立的病毒文件除了会搜寻别的正常文件进行感染外，还会试图打开用户的系统后门。原来，它是一个远程控制后门程序。当病毒成功开启后门，木马种植者（黑客）就能远程控制用户的电脑，进行任何想要的系统操作，甚至盗取用户的个人隐私和商业资料。
经毒霸反病毒工程师的分析，被感染后的文件入口地址被改到最后一个节表的病毒代码处执行，关键病毒代码被加密，前面一段代码就是解密后面的加密指令。病毒作者试图以此阻止安全软件的查杀，但毒霸仍可彻底清除该毒，因此已安装毒霸的用户们大可放心。不过，还是要再次提醒大家，在进行下载和接收他人从网上发来的文件时，最好用杀毒软件进行一下扫描，防止感染型病毒的潜入。
二、“AUTO病毒15598”（Win32.Troj.AutoRunT.ad.15598） 威胁级别：★
随着U盘等移动存储设备价格降低，越来越多人养成随身携带U盘的习惯，一些病毒作者看准这一点，制作出大量可利用U盘传播的AUTO病毒。在毒霸反病毒分析师昨日处理的病毒中，就有不少AUTO病毒，我们选出其中传播倾向较高的一个，为大家介绍其破坏原理。
此病毒进入系统后，在%WINDOWS%\system32\目录下释放出一个隐藏属性的病毒文件Dser.exe ，为防止用户恢复文件显示模式后发现该文件，病毒还将这个文件伪装成“系统”文件，试图迷惑用户。
接着，它判断系统盘%WINDOWS%\system32\drivers\目录下是否有 klif.sys 这个文件。这个文件其实是杀毒软件卡巴斯基的一部分，如果病毒找到这个文件，就会修改当前系统时间为 1981-01-12 ，令依赖系统时间进行升级和激活的卡巴斯基失效。
病毒继续运行。它创建线程，查找窗口标题名为“IE 执行保护”、“IE执行保护”、“瑞星卡卡上网安全助手 - IE防漏墙”的窗口。如发现，则向其发送鼠标消息，模拟用户点击鼠标发出的命令，将其关闭。以阻止用户获知系统中的异常。
在病毒运行的后期，它在后台悄悄连接http:/ /www.8**ao***mm.bj.cn 这个由木马种植者指定的地址，下载一批名称为 123.exe 至 128.exe 编号的木马文件，给用户的系统安全引来更多无法估计的威胁。
此外，为扩大传染范围，病毒在电脑的每个磁盘分区下都创建AUTO病毒文件 autorun.inf 和 Dser.exe，只要用户双击磁盘或在中毒电脑上使用U盘等移动存储设备，病毒就会被再次激活，搜寻所有磁盘进行感染。
毒霸反病毒分析师建议用户利用清理专家中的自动运行管理工具，关闭移动设备的自动运行，这样可以极大地阻止病毒利用U盘进行传播。
关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-troj-autorunt-ad-15598-50475.html |
