改艳照事件再现群共享AVG提醒您注意防范

“艳照”事件再现群共享，AVG提醒您注意防范

近来，AVG中国区病毒实验室不断的接受到一个名为厢册.exe的病毒样本，经分析发现，该病毒的在群的共享中以娱乐(柏x再次曝光)的压缩包形式出现。但是并没有采用自解压的格式，因此双击压缩包不会导致病毒的运行，如下图所示：

笔者甚至在本人的某些群中都能找到其踪迹，可见现在此病毒已经具有一定的覆盖面。柏X再次曝光，相信这个名字对很多用户还是具有一定的吸引力，这也是此病毒能够广泛传播的一个原因。压缩包中实际包含两个文件，但是如果直接解压，并且用户没有在文件夹选项中选择显示系统隐藏文件的选项时，是无法察觉到文件l的存在，因为此文件具有系统隐藏的属性。

如果用户在好奇心的驱使下，双击了厢册.exe,在某些低版本的windows系统中，系统未检查l的合法性，并且会引导友和原创作者在视频站上传高质量的视频内容优先加载当前目录下的l，而不是系统的DLL。恶意的l会向系统所有磁盘的所有目录下复制l.并且利用rar提供的命令行向压缩包中打包病毒文件，直接导致某些压缩包中携带恶意的病毒文件。传播途径比较隐蔽。随后病毒会将正常路径下的l加载起来。如下图所示l释放两个文件：

c:\windows\temp\p

c:\windows\system32\e

这两个进程主要负责和远端的服务器进行通信。同时我们要看见p的进程下加载了两个l其中之一就是恶意的病毒文件。

这样，实现了一种特殊的自启动，任何目录下的exe执行时都会导致病毒模块l的加载。同时病毒会利用自身的资源文件生成一个的文件，然后利用重命名的方式将改名为l.

随后病毒会执行shutdown -r -t 1的命令强制重启用户电脑。经分析发现释放的文件l会窃取您账户的密码，并上传至远端的服务器。以下截图表明了病毒在拼接2012的字符串。

通过对近期样本的监测，以及用户反馈，群共享中出现病毒的频率越来越高。某些病毒甚至有自动将自身上传至感染用户所有群共享的功能。AVG提醒您，切忌不要打开群共享中带有诱惑或者敏感信息的文件，潘多拉的盒子一旦被打开将会给您造成一些不可挽回的损失;同时请注意保持您安全防护软件的更新和系统的更新。当前最新版本的AVG已经可以检测此类病毒，AVG用户可以安心畅游络。

关注ITBear科技资讯公众号（itbear365 ），每天推送你感兴趣的科技内容。

特别提醒：本内容转载自其他媒体，目的在于传严禁挪作他用。 第十二条 严禁使用本基金向他人提供担保。 第十三条 投资管理职责： _. 利用基金资产进行投资； _. 建立健全投资决策制度递更多信息，并不代表本赞同其观点。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，并请自行核实相关内容。本站不承担此类作品侵权行为的直接及连带。如若本有任何内容侵犯您的权益，请及时联系我们，本站将会在24小时内处理完毕。