|
|
|||||||||||
|
|||||||||||||
| 当前位置： 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
| 盗号木马avp.exe、hs4viewer.dll、ws2ifsl.sys的简单分析与解决办法 | |||
| 2007-2-11 16:13:02 文/佚名 出处:电脑软硬件应用网 | |||
|
释放文件： %system%\hs4viewer.dll %windir%\avp.exe 还有其他一些完成使命后自我删除的文件 %system%\delplme.bat %Documents and Settings%\计算机名\Local Settings\Temp\RarSFX0\1.jpg %Documents and Settings%\计算机名\Local Settings\Temp\RarSFX0\server.exe ..... 添加系统服务 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\VGADown] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_VGADOWN] 指向 %windir%\avp.exe 加载驱动（系统正常文件，处理时别动它） [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WS2IFSL] %system%\drivers\ws2ifsl.sys 作恶特点： 1、avp.exe冒充卡巴斯基的正常进程 2、修改SPI,添加hs4viewer.dll，这个难以说清楚，跟以前的流氓软件roogoo差不多，看hijackthis和sreng日志体现吧 Winsock 提供者 MSAFD Tcpip [TCP/IP] C:\WINDOWS\system32\hs4viewer.dll(N/A, N/A) O10 - Unknown file in Winsock LSP: %system%\hs4viewer.dll 解决过程： 1、清除掉病毒avp.exe 如果装有卡巴斯基，可以使用procexp来判断哪个avp.exe是病毒进程，终止该进程后，删除avp.exe以及其添加的注册表信息，如 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\VGADown] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_VGADOWN] %windir%\avp.exe 要是不嫌麻烦，可以先删除其创建的注册表服务信息，然后重启，再删除avp.exe 2、使用LSPFix.exe或其他工具来解决掉hs4viewer.dll 这个尤其要注意，不要蛮干，别搞的上不了网，个人习惯使用LSPFix.exe，使用介绍以及其他相关事项在这里 LSPFix处理完毕后，再手工删除%system%\hs4viewer.dll |
|||
| 关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
|
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |
