msvcrt.dll Relive.dll msvcrt.bak病毒变种解决方案_电脑软硬件应用网

病毒名称：Virus.Win32.AutoRun.bk（Kaspersky）
病毒别名：Trojan.PSW.Win32.Agent.qs（瑞星）
病毒大小：23,087 字节
加壳方式：PE_Patch.UPX UPX
样本MD5：3d4d01638f3e206c7bbbde769a3f2182
样本SHA1：8d6d71216a588155554226efe84eed2c8011c38a
发现时间：2007.7.10
更新时间：2007.7.17
关联病毒：
传播方式：通过恶意网页传播，其它木马或病毒下载

技术分析
==========

变种：
Relive.dll msvcrt.dll木马的手动清除

木马运行后复制自身到：
%ProgramFiles%\Internet Explorer\msvcrt.bak
释放dll注入Explorer.exe进程：
%ProgramFiles%\Internet Explorer\msvcrt.dll
同时还创建msvcrt.dll的副本，作为BHO启动：
%ProgramFiles%\Common Files\Relive.dll

创建ShellExecuteHooks启动方式：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{0FAD2E16-C8EF-5AC1-1E6A-AE3FD8EF56B3}"=""

[HKEY_CLASSES_ROOT\CLSID\{0FAD2E16-C8EF-5AC1-1E6A-AE3FD8EF56B3}\InProcServer32]
@="%ProgramFiles%\Internet Explorer\msvcrt.dll"

创建浏览器加载项（BHO）：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D3626E66-B13B-C628-ACDF-BDABCFA265E1}]

[HKEY_CLASSES_ROOT\CLSID\{D3626E66-B13B-C628-ACDF-BDABCFA265E1}\InProcServer32]
@="%ProgramFiles%\Common Files\Relive.dll"

删除注册表ShellExecuteHooks位置下其它木马创建的信息：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
{B8A170A8-7AD3-4678-B2FE-F2D7381CC1B5}
{131AB311-16F1-F13B-1E43-11A24B51AFD1}
{274B93C2-A6DF-485F-8576-AB0653134A76}
{1496D5ED-7A09-46D0-8C92-B8E71A4304DF}
{0CB68AD9-FF66-3E63-636B-B693E62F6236}
{09B68AD9-FF66-3E63-636B-B693E62F6236}
{754FB7D8-B8FE-4810-B363-A788CD060F1F}
{A6011F8F-A7F8-49AA-9ADA-49127D43138F}
{06A68AD9-FF56-6E73-937B-B893E72F6226}
{01F6EB6F-AB5C-1FDD-6E5B-FB6EE3CC6CD6}
{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}
{BC0ACA58-6A6F-51DA-9EFE-9D20F4F621BA}
{AEB6717E-7E19-11d0-97EE-00C04FD91972}
{99F1D023-7CEB-4586-80F7-BB1A98DB7602}
{FEB94F5A-69F3-4645-8C2B-9E71D270AF2E}
{923509F1-45CB-4EC0-BDE0-1DED35B8FD60}
{42A612A4-4334-4424-4234-42261A31A236}
{DE35052A-9E37-4827-A1EC-79BF400D27A4}
{DD7D4640-4464-48C0-82FD-21338366D2D2}
*{AEB6717E-7E19-11d0-97EE-00C04FD91972}

删除目录：

%temp%\smss.exe
%temp%\csrss.exe
%temp%\svchost32.exe
%temp%\svchost.exe
%temp%\conime.exe
%temp%\ctfmon.exe
%temp%\mmc.exe
%temp%\services.exe
%temp%\IEXPLORE.EXE
%temp%\stpgldk.exe
%temp%\srogm.exe
%temp%\spglsdr.exe
%temp%\copypfh.exe
%temp%\okfile.exe
%temp%\fyso.exe
%temp%\jtso.exe
%temp%\mhso.exe
%temp%\wdso.exe
%temp%\wgso.exe
%temp%\wlso.exe
%temp%\wmso.exe
%temp%\woso.exe
%temp%\ztso.exe
%temp%\daso.exe
%temp%\tlso.exe
%temp%\rxso.exe
%temp%\fyso0.dll
%temp%\jtso0.dll
%temp%\mhso0.dll
%temp%\qjso0.dll
%temp%\wdso0.dll
%temp%\wgso0.dll
%temp%\wlso0.dll
%temp%\wmso0.dll
%temp%\woso0.dll
%temp%\ztso0.dll
%temp%\tlso0.dll
%temp%\daso0.dll
%temp%\rxso0.dll
%ProgramFiles%\Internet Explorer\msvcrt.dll
%ProgramFiles%\Internet Explorer\msvcrt.bak
%ProgramFiles%\Internet Explorer\msvcrt.ebk

删除文件：

%System%\drivers\etc\hosts

尝试访问网络下载其它木马程序保存到%temp%目录并运行，之前的操作即是为这些木马的种植做准备。

通过注册表找到反病毒软件的安装目录：

HKEY_LOCAL_MACHINE\SOFTWARE\rising\Rav\installpath
HKEY_LOCAL_MACHINE\SOFTWARE\Kingsoft\AntiVirus\ProgramPath
HKEY_LOCAL_MACHINE\SOFTWARE\JiangMin
HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\InstalledProducts\Kaspersky Anti-Virus Personal
HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SetupFolders
HKEY_LOCAL_MACHINE\SOFTWARE\Network Associates\TVD\Shared Components\Framework
HKEY_LOCAL_MACHINE\SOFTWARE\Symantec\SharedUsage
HKEY_LOCAL_MACHINE\SOFTWARE\Eset\Nod\CurrentVersion\Info

在反病毒软件安装目录下创建名为ws2_32.dll目录影响反病毒软件的正常运行，并在ws2_32.dll目录中创建不规则命名!O!0.的目录使得ws2_32.dll目录不能被删除。比如：

C:\KAV2007\ws2_32.dll\!O!0.
C:\Program Files\Rising\Rav\ws2_32.dll\!O!0.

清除步骤
==========

1. 删除木马创建的注册表信息（注册表进入步骤：开始菜单－运行－输入“regedit”）：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{0FAD2E16-C8EF-5AC1-1E6A-AE3FD8EF56B3}"

[HKEY_CLASSES_ROOT\CLSID\{0FAD2E16-C8EF-5AC1-1E6A-AE3FD8EF56B3}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D3626E66-B13B-C628-ACDF-BDABCFA265E1}]

[HKEY_CLASSES_ROOT\CLSID\{D3626E66-B13B-C628-ACDF-BDABCFA265E1}]

2. 重新启动计算机

3. 删除木马相关文件（如遇提示无法删除文件，到down.45its.com下载费尔木马强制删除器工具进行强制删除）：
%ProgramFiles%\Internet Explorer\msvcrt.bak
%ProgramFiles%\Internet Explorer\msvcrt.dll
%ProgramFiles%\Common Files\Relive.dll

4. 删除反病毒软件安装目录下的ws2_32.dll目录，可以使用rd /s命令，比如：

rd /s C:\KAV2007\ws2_32.dll
rd /s "C:\Program Files\Rising\Rav\ws2_32.dll"

5. 创建%System%\drivers\etc\hosts文件：
内容为一行即可：

127.0.0.1 localhost

最新热点		最新推荐		相关文章
				删不掉的"淘宝图标"来侵教你删"淘宝… 微软高危漏洞"快捷方式自动执行"手工… acad.vlx删除方法 360se.exe病毒清除解决方案 regedit32.exe 病毒清除解决方案 3874jr98.exe,long.exe等病毒清除解… RG8.tmp病毒清除解决方案 139ujf939.exe,2.exe等病毒清除解决… EntSoQn.exe病毒清除解决方案 360safess.net.exe等病毒清除解决方…