隨著互聯網的發展，安全廠商利用基於網絡的“雲”實現了對惡意軟件的更快速的反應和用戶程序的更廣的覆蓋，然而於此同時惡意軟件也利用互聯網對自己進行了技術提昇。在就光棍節前夕，AVG中國實驗室捕獲一款惡意下載器樣本，此病毒不光作為更進一步入侵的跳板，更是讓自己本身成為新下載病毒的“外衣”。這樣使得每次這個“屍體”的運行，都能讓受害者中到“最新”的病毒。並且該樣本使用了大量的針對性的躲避安全軟件檢測、主動防御和反編譯的方法，增大惡意軟件的分析檢測的難度，以確保自己更長時間的存活。AVG實驗室將其命名為“屍魂。”

　　如上圖，圖標非常不起眼，很容易讓人麻痺大意。

　　從靜態分析過程中不難發現，此程序的運行時節是完全正常的，給人一種是普通的VC程序的錯覺；但進入程序主體之後，會發現存在許多的無用的分支和乾擾性的API調用。病毒這樣做是為了增加人工分析和啟發式檢測的難度。

　　病毒利用了指令拼湊字符串的手法防止基於字符串的啟發式檢測。

　　病毒訪問幾個備選的網站，通過URL下載自己的“靈魂”。

　　如果聯網失敗，病毒不會有任何行為。因此在安全廠商的隔離病毒實驗室裡面可能完全檢測不到任何惡意行為。

　　如果通過瀏覽器url我們可以發現頁面的內容類型被標記為“圖片”，而實際上數據並非為圖片的數據，而是加密後的dll文件。

　　下載成功後病毒把文件保存在臨時文件夾下面隨機目錄中，取名為ms_mod_log_xxxx.log(x為隨機值)。後面的動作不像一般病毒那樣把文件保存然後加載磁盤中的解密文件，而是在內存中解密此文件，映射進內存，手動導入表。查找入口，進入運行。這樣在磁盤中就沒有下載的文件的影子。

　　進入下載的惡意dll中之後病毒獲得主機的硬盤ID和串號，與服務器通信報告肉雞情況。安裝惡意驅動保護自身；安裝服務以確保自身運行，又進一步下載其他文件。到底正式宣告了用戶計算機被佔領。

　　這種“雲病毒”的借屍還魂的做法既保持了自我更新，又保護了在線獲得的“靈魂”不被基於文件的反病毒引擎查殺；此類病毒依賴於互聯網，在無網情況下又給人一種安全的假象。可謂一舉多得。

　　目前此病毒已被AVG檢測為Downloader.Agent2.AVRF。無論是收費版還是免費版的用戶，只要開機自動更新病毒庫，就會有效阻止該病毒的侵襲。

　　AVG也借此提醒廣大用戶，在2011年11月11日這個日益讓人忍不住“瘋狂”的日子，不要被那些大幅的閃爍廣告迷花了眼，一定要去正規的購物網站購買物品慶祝節日，並開啟您的網絡安全防護；同時，也請大型的購物網站做好自檢，給廣大的網民一個真正的狂歡。