8月14日，金山云安全中心監(jiān)測發(fā)現(xiàn)一類盜號木馬可成功騙過眾多殺毒軟件的防御，病毒利用正常系統(tǒng)的EXE程序（有數(shù)字簽名的可執(zhí)行程序）加載病毒dll文件，一周內(nèi)病毒感染量從最初的每天200臺飆升到一天1.6萬臺。中毒電腦可能出現(xiàn)多個流行網(wǎng)游帳號及裝備被盜。

圖1 盜號木馬一周感染量出現(xiàn)飆升

    利用正常程序來啟動病毒木馬，這已經(jīng)成為病毒作者慣用的手法。一些具有數(shù)字證書的常用EXE文件（可執(zhí)行程序）尤其容易被利用。這些盜號木馬的目標(biāo)是網(wǎng)游玩家，因此通常會偽裝成外掛和游戲插件來欺騙玩家下載安裝。

圖2 病毒利用Windows CleanSystem清理工具來運行病毒dll的典型實例。

     當(dāng)CleanSystem.exe要運行時，會去加載同目錄下的updspapi.dll文件才能順利執(zhí)行。當(dāng)網(wǎng)民不慎運行了謊稱游戲外掛和輔助插件的病毒后，系統(tǒng)目錄下的updspapi.dll文件即被病毒替換。病毒還會添加開機自動運行項，實現(xiàn)每次重啟電腦后病毒程序被自動加載。

     因為開機運行項時實際添加了一個正常的系統(tǒng)工具，這類系統(tǒng)程序是完全正常的文件，一些殺毒軟件若不能及時鑒定病毒篡改過的updspapi.dll，就會導(dǎo)致盜號木馬在系統(tǒng)開機時成功運行，最終導(dǎo)致游戲玩家的虛擬財富被洗劫一空。