关注恶意软件：

名称：“劫持者”木马（Trojan-Dropper.Win32.Agent.dqou）

大小：1.67 MB

是否加壳：否

影响的平台：WIN9X/ME/NT/2000/XP/2003/Vista/Win7

创建文件：

C:\WINDOWS\system32\bad.ini

C:\WINDOWS\system32\dvsrec.ini

C:\WINDOWS\system32\safeini.cfg

C:\WINDOWS\system32\drivers\websafe.sys

.\wvi.dll

.\gamechk.dll

修改注册表：

HKLM\SYSTEM\CurrentControlSet\Services\websafe\
HKLM\SYSTEM\CurrentControlSet\Services\websafe\ErrorControl
HKLM\SYSTEM\CurrentControlSet\Services\websafe\ImagePath
HKLM\SYSTEM\CurrentControlSet\Services\websafe\Start
HKLM\SYSTEM\CurrentControlSet\Services\websafe\Type
HKLM\SYSTEM\CurrentControlSet\Control\Webhj
HKLM\SYSTEM\CurrentControlSet\Control\Webhj\Search

行为描述：

该恶意程序包含图形界面，表面上是某种游戏工具，但是在其背后却隐藏了恶意行为。感染后，该木马会在当前目录下释放恶意程序gamechk.dll、wvi.dll，在驱动目录释放恶意驱动程序websafe.sys。
websafe.sys是一种TCP过滤驱动，会将自身加入至设备对象链的顶端，这意味着用户的所有网络访问都将由websafe.sys优先处理，此种技术常见于防火墙模块中，黑客正是使用了此技术劫持用户浏览网页。

wvi.dll负责调用websafe.sys，对websafe.sys发送控制指令，解密配置文件safeini.cfg，向websafe.sys发送解密后的配置信息。websafe.sys得到配置信息后会保存在注册表内。当用户访问网络时，不断的检查用户访问的网站是否可以劫持。如果可以劫持，websafe.sys会过滤用户访问的网址，返回HTTP重定向信息，重定向至黑客事先设计好的网址并访问。比如当用户使用搜索引擎搜索某种商品时，返回的信息会被重定向至推广页面中，而推广页面并不是该商品的官方网站，黑客以此方式劫持用户。

被劫持的网站共有：淘宝、百度、京东商城、凡客诚品、谷歌、搜狗、www.atpanel.com等。
此种恶意程序与以往恶意程序有很大不同，以往的恶意程序利用盗取游戏账户、控制用户计算机、盗取用户银行账户、盗取QQ密码等获得利益。而此种恶意程序则是利用互联网谋取利益，这某种程度上标志着恶意软件由单机向互联网转型的趋势。

专家预防建议:

建立良好的安全习惯，不打开可疑邮件和可疑网站。

不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。

使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。

现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。

安装专业的防毒软件升级到最新版本，并开启实时监控功能。

为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。

不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。