病毒运行后 在C:\Program Files\Common Files\Microsoft Shared\MSInfo\下面释放一个同样由8个数字和字母组成的组合的文件名的dll 和一个同名的dat 文件 我这里是C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll 该dll插入Explorer进程 结束(包括但不限于)以下进程 360rpt.exe 360Safe.exe 360tray.exe adam.exe AgentSvr.exe AppSvc32.exe autoruns.exe avgrssvc.exe AvMonitor.exe avp.com avp.exe CCenter.exe ccSvcHst.exe FileDsty.exe FTCleanerShell.exe HijackThis.exe IceSword.exe iparmo.exe Iparmor.exe isPwdSvc.exe kabaload.exe KaScrScn.SCR KASMain.exe KASTask.exe KAV32.exe KAVDX.exe KAVPFW.exe KAVSetup.exe KAVStart.exe KISLnchr.exe KMailMon.exe KMFilter.exe KPFW32.exe KPFW32X.exe KPFWSvc.exe KRegEx.exe KRepair.COM KsLoader.exe KVCenter.kxp KvDetect.exe KvfwMcl.exe KVMonXP.kxp KVMonXP_1.kxp kvol.exe kvolself.exe KvReport.kxp KVScan.kxp KVSrvXP.exe KVStub.kxp kvupload.exe kvwsc.exe KvXP.kxp KvXP_1.kxp KWatch.exe KWatch9x.exe KWatchX.exe loaddll.exe MagicSet.exe mcconsol.exe mmqczj.exe mmsk.exe NAVSetup.exe nod32krn.exe nod32kui.exe PFW.exe PFWLiveUpdate.exe QHSET.exe Ras.exe Rav.exe RavMon.exe RavMonD.exe RavStub.exe RavTask.exe RegClean.exe rfwcfg.exe RfwMain.exe rfwProxy.exe rfwsrv.exe RsAgent.exe Rsaupd.exe runiep.exe safelive.exe scan32.exe shcfg32.exe SmartUp.exe SREng.exe symlcsvc.exe SysSafe.exe TrojanDetector.exe Trojanwall.exe TrojDie.kxp UIHost.exe UmxAgent.exe UmxAttachment.exe UmxCfg.exe UmxFwHlp.exe UmxPol.exe UpLive.EXE.exe WoptiClean.exe zxsweep.exe 常见的杀毒软件和一些安全工具都被他干掉了 然后将这些exe通过IFEO进行映像劫持 指向c:\program files\common files\microsoft shared\msinfo\41115bdd.dat
监控带有如下字样的窗口 如果发现带有如下字样的窗口则马上将其关闭 木马 木馬 病毒 杀毒 殺毒 查毒 防毒 反病毒 专杀 專殺 卡巴斯基 江民 瑞星 卡卡社区 金山毒霸 金山社区 360安全 恶意软件 流氓软件 举报 报警 杀软 殺軟 防駭
以上这些监控和关闭窗口的工作全都是由插入Explorer进程的C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll操作的 比熊猫更狠 让你找不到进程咯 然后在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks 下面添加注册表项目 <{15BD4111-4111-5BDD-115B-111BD1115BDD}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\41115BDD.dll> [N/A] 达到开机启动目的 而且那个dll会监控这个注册表项目 如果被删除则立即恢复
删除键 HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} 破坏安全模式
修改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue值为0x00000000 使得显示不了隐藏文件
释放8668122F.exe(此文件名在每台电脑上各不相同)和autorun.inf到除系统分区外的其他分区
然后通过Explorer进程链接网络下载一个自解压文件dl1.exe 到临时文件夹 自解压文件释放C:\WINDOWS\system\20290.exe C:\WINDOWS\system\ad1309.exe C:\WINDOWS\system\DiskFree_hy1.5.exe C:\WINDOWS\system\dodolook027.exe等文件 这里面有驱动木马 也有流氓软件 所有的文件都运行后 添加了如下文件
C:\WINDOWS\system32\drivers\acpidisk.sys C:\WINDOWS\system32\drivers\tolnfo47.sys C:\WINDOWS\system32\drivers\vilpew30.sys C:\WINDOWS\system32\drivers\ykagjt85.sys C:\WINDOWS\system32\1b.dll C:\WINDOWS\system32\48a69 C:\WINDOWS\system32\60e4.exe C:\WINDOWS\system32\7df9.dll C:\WINDOWS\system32\91b6.dll C:\WINDOWS\system32\b60.dll C:\WINDOWS\system32\bpjlgv91.dll C:\WINDOWS\system32\df91.dll C:\WINDOWS\system32\f91b.exe C:\WINDOWS\system32\ieagent.exe C:\WINDOWS\system32\mprmsgse.axz C:\WINDOWS\system32\mscpx32r.det C:\WINDOWS\system32\MSRundll.exe C:\WINDOWS\system32\ntprint.dIl C:\WINDOWS\system32\tolnfo47.dll C:\WINDOWS\system32\tolnfo47.ini C:\WINDOWS\system32\vilpew30.dll C:\WINDOWS\system32\wingjt85.bin C:\WINDOWS\system32\wingjt85.dll C:\WINDOWS\system32\winkx.dll C:\WINDOWS\system32\winlgv91.bin C:\WINDOWS\system32\winpew30.bin C:\WINDOWS\system32\winpew30.dll C:\WINDOWS\system32\ykagjt85.dll C:\WINDOWS\system32\cewrndm.dll C:\WINDOWS\system32\tolnfo47.dll C:\WINDOWS\system32\vilpew30.dll C:\WINDOWS\system32\b60.dll C:\WINDOWS\03.bmp C:\WINDOWS\3fa.exe C:\WINDOWS\41115BDD.hlp C:\WINDOWS\fa7c.txt C:\Program Files\Internet Explorer\PLUGINS\system2.jmp C:\Program Files\Internet Explorer\PLUGINS\SystemKb.sys 还装了两个软件 一个是adpush software 一个是disk free
可我是重新安装的操作系统,怎么也不行呢?他不可能立即就修改了我的注册表,看来问题主要是出在各个盘符下面的两个隐藏文件8668122F.exe和autorun.inf了。 我的解决办法如下: 1、重新安装操作系统 2、若不安装操作系统,需要把上述生成文件全部删除。除系统盘其他盘根目录下均会有8668122F.exe和autorun.inf隐藏文件存在。先通过注册表修改,让隐藏文件显示功能恢复正常(方法见www.45its.com/Article/pc120/Fault/200612/14165.htm)。 3、自己先建两个文件,名字和8668122F.exe和autorun.inf完全相同,格式也要相同。把属性均设置为隐藏,只读。 4、复制此两个文件,然后在每个盘符下把真实的病毒文件删除,粘贴自建的两个文件(否则病毒会自动生成,永远也删除不干净) 5、重新启动,重新恢复一遍操作系统。 问题终于得到解决,但是却也留下了后遗症。现在我的电脑除了系统盘之外,其他盘均无法通过双击或者右键打开,只能通过资源管理器浏览盘内容。据我分析应该为autorun.inf文件的问题,但是我却没有胆量把之删除,怕病毒没有清理干净。希望有朋友可以帮我解决这一问题。
电脑软硬件应用网站长注:本文为网络收集,作者未知,如作者看到或者有知情者,请联系我们,并且提供相应的证明材料。我们将予以添加。谢谢支持。
|