作者：计世网商用软件频道　

〖计世网商用软件频道〗“伪杀软下载器225280”（Win32.TrojDownloader.Zlob.225280）  威胁级别：★★

这个木马下载器属于诈骗型木马，它会恐吓用户说系统中有极度危险的病毒，必须下载指定的“杀毒软件”。

该毒进入系统后，首先会检查感染的机器是否是WINDOWS操作系统，若不是则在临时目录上创建脚本，删除自己。如果是WINDOWS系统，它就释放在%Program Files%\Web Technologies\目录下释放出一个iebr.dll文件，并将其加入注册表启动项，实现自己的开机自启动。

当病毒运行起来，它就判断用户使用的浏览器是什么种类，并添加对应的工具条。这个动作完成后，一些网站就会被禁止访问。这些被禁止访问的网站，一些是安全软件厂商的，一些是其它间谍软件的下载网站。由此看来，此下载器的作者既害怕安全厂商，又很讨厌同行的竞争对手。

最后，此毒会令用户的浏览器弹出病毒作者指定的网址***refr****nks.com，进入网页后，会弹出窗口提示用户说在用户电脑上发现病毒，必须立刻下载一个名为Antispyware2008 online scanner 的“杀毒软件”，如果用户不选择下载，提示窗口就无法关闭。

但是，经毒霸反病毒工程师检查，它所谓的安全检查窗口其实是个flash 动画文件，无论用户系统中是否有病毒，它都会提示同样的信息。至于它要求用户下载的“杀毒软件”，其实是个间谍软件，会收集用户电脑里的敏感数据。

关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-trojdownloader-zlob-225280-50883.html

“远程控制木马32768”（Win32.Troj.Delf.32768）  威胁级别：★

这个远程控制木马技术含量较低，但由于借助下载器传播，近来传播量较高。

病毒运行后拷贝自身到系统目录%windows%\system32\下，文件名为ascec.exe。注册为服务启动，服务名为“1”，描述则完全为空。用户如果发现系统中有这样的进程，那很可能就是此毒。

当成功启动后，该毒就读取用户电脑系统的地址、配置等信息，然后开启部分端口，连接67.22*.1*6.1*6:1803这个由病毒作者指定的远程服务器，等待黑客发出指令。由于该毒已经获得了系统最高权限，黑客可以利用它完成任何想要的操作。

运行结束后，它会执行自删除，避免自己的样本被用户发现。

关于该病毒的详细分析报告，可在金山病毒大百科中查阅 http://vi.duba.net/virus/win32-troj-delf-32768-50884.html