江民反病毒中心近期捕獲兩款高活躍度木馬：「小不點」變種 epy 及「突變王」變種 dq。兩者均具備反防毒、持久化、竊密、下載器、USB 蠕蟲傳播等完整攻擊鏈，對 Windows 全平台構成嚴重威脅。

威脅一：Trojan/Small.epy 「小不點」變種 epy

屬性	數值
檔案大小	29,184 位元組
開發語言	VC++
危險等級	★★

核心惡意行為

• 偽裝與持久化：複製至 %SystemRoot%\system32\svch0st.exe（模仿 svchost.exe），設為系統隱藏屬性；修改啟動項、啟動資料夾實現開機自啟。
• 進程注入與隱匿：啟動 IExplore.exe 並注入代碼，躲避程序列表檢測。
• 映像劫持癱瘓防毒：修改登錄檔 Image File Execution Options，禁止近百款防毒軟體、安全工具、偵錯器執行，導致系統失去防護能力。
• 修改 Hosts 檔封鎖更新：屏蔽大量安全廠商域名，防止病毒庫更新。
• 提權與終止安全進程：強行關閉主流防毒軟體進程。
• 下載器功能：連接 C&C 下載盜號木馬、廣告程式、後門等二階段酬載。
• USB 蠕蟲傳播：在各磁碟根目錄建立 autorun.inf 與 setup.exe，雙擊磁碟即執行。

威脅二：TrojanDownloader.Mutant.dq 「突變王」變種 dq

屬性	數值
檔案大小	33,021 位元組
開發語言	高階語言 + 加殼保護
危險等級	★★

核心惡意行為

• 多組件部署：釋放 %SystemRoot%\system32\WinNt32.dl_ 組件與 %SystemRoot%\system32\drivers\Oas63.sys 惡意驅動程式。
• 安全模式也能自啟：修改登錄檔並透過惡意驅動，在安全模式下亦能自動執行。
• 核心鉤子保護：掛鉤系統核心函數，防止病毒檔案被複製、修改、刪除。
• 進程注入隱匿：將代碼注入系統進程運行。
• 下載執行二階段酬載：含盜號木馬、惡意廣告、後門等。

綜合防護建議

1. 立即更新防毒軟體：啟用智慧分級高速掃描引擎與所有即時監控模組。
2. 企業網路版用戶：升級控制中心，安排全網深度掃描。
3. 啟用開機前掃描：清除具備自我保護、反防毒能力的惡性病毒。
4. 啟用移動儲存裝置掃描：阻斷 USB 傳播途徑。
5. 系統強化：修補漏洞、關閉非必要共享、強化管理員密碼、限制使用者權限。

此類木馬展現「攻防一體化」趨勢：不僅竊密、下載，更主動摧毀防禦體系。單一防毒軟體已難以應對，需建立「端點防護 + 網路偵測 + 行為分析 + 威脅情報」的整體防禦架構。