后门程序 Rpcsexe.exe Rpcsexe.dll的手动清除

病毒名称：Backdoor.Win32.Delf.ash（Kaspersky）
病毒别名：Backdoor.Jusi.ba（瑞星）
　　　　　 Win32.PSWTroj.QQRob.294912（毒霸）
病毒大小：105,472 字节
加壳方式：PE_Patch.UPX UPX
样本MD5：7dc1cd7355a2749550f77a4a111a710d
样本SHA1：227a62bf5264386a90311a5727ebe96ac7839a07
发现时间：2007.6
更新时间：2007.6.6
关联病毒：
传播方式：其它病毒、木马下载

技术分析
==========

变种：后门程序 Rpcsdm.exe Rpcsdm.dll的手动清除

运行后复制自身到系统目录：
%System%\Rpcsexe.exe
同时释放dll文件：
%System%\Rpcsexe.dll

使用bat批处理%temp%\delmeexe.bat删除原文件：

@echo off
:loop
del "原文件"
del "%temp%\delmeexe.bat"
if exist %temp%\delmeexe.bat goto loop

创建服务：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSEXE]
显示名：Remote Procedure Call System(RPCSEXE)
描述：管理并控制RPCEXE服务数据库。
可执行文件的路径：%System%\Rpcsexe.exe

调用IE进程（iexplore.exe）访问远程服务器。

清除步骤
==========

1. 删除服务：(步骤：开始菜单－运行－输入“regedit”依次打开并删除)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSEXE]

2. 重新启动计算机

3. 删除文件：(如遇无法删除，可到down.45it.com下载费尔木马强制删除器工具进行强制删除)
%System%\Rpcsexe.exe
%System%\Rpcsexe.dll

搜索

后门程序 Rpcsexe.exe Rpcsexe.dll的手动清除