“伪装下载器27648”(Win32.TrojDownloader.Agent.g.27648)，这是一个木马下载器程序。它会修改注册表实现自动运行，如果成功运行起来后，就会从指定的地址下载15个其它木马病毒并运行。

　　“办公室伪装者394240”(Win32.TrojDownloader.Banload.394240)，这是个具有伪装性的木马下载器。它给采用MS OFFICE办公软件的word图标，伪装成word主程序，欺骗用户。

　　一、“伪装下载器27648”(Win32.TrojDownloader.Agent.g.27648)威胁级别：★★

　　该病毒进入系统后，会首先把自身复制到系统盘%WINDOWS%\system32\目录下，改名为liveupdate.exe，同时复制系统中的文件URLMON.DLL，将它改名为lo.dll，也放到%WINDOWS%\system32\目录下。这里需要注意的是， liveupdate.exe这个文件名，乍一看，会以为是系统的升级文件，看来病毒作者是试图以此来蒙骗用户。

　　当病毒成功地将liveupdate.exe加入系统注册表，实现开机自启动后，它就会在用户无法知晓的情况下连接病毒作者指定的地址http://www.l***own.com.cn/img，下载以logo1~15命名的.exe格式文件。

　　经毒霸反病毒工程师检查发现，这些文件都是盗号木马程序，它们的盗号目标是各类热门网游和即时聊天工具。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-trojdownloader-agent-g-27648-50613.html

　　二、“办公室伪装者394240”(Win32.TrojDownloader.Banload.394240)威胁级别：★

　　此病毒为一个木马下载器，它的狡猾之处在于，它会采用微软OFFICE办公软件中的word图标，伪装成word主程序欺骗用户忽略它。

　　病毒进入电脑后，复制自身到c:\Documents~1\Administrator\[开始]菜单\程序\启动\word.exe，以及c:\ Documents~1\new\[开始]菜单\程序\启动\word.exe目录下，同时修改系统注册表中的相关数据，使病毒可以随系统启动。

　　接着，从E盘开始到I盘，病毒在系统各分区下释放病毒副本，毒霸反病毒工程师判断，这是它在试图建立AUTO文件。但由于技术原因，或者病毒作者的粗心，AUTO文件没能建立。

　　最后，病毒在后台悄悄连接多个挂马网页，下载大量木马文件到用户电脑上执行，引发更多无法估计的安全事件。

　　关于该病毒的详细分析报告，可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-trojdownloader-banload-394240-50614.html

　　金山反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，如不要登录不良网站、不要进行非法下载等，切断病毒传播的途径，不给病毒以可乘之机。