当前位置: 首页 > news >正文

兰州微网站建设网络营销企业网站

兰州微网站建设,网络营销企业网站,wordpress好看的自定义页面模版,做外包的网站有哪些问题今天一个朋友中了这个病毒,看到了这个手工杀毒的方法,转载到这里,留待自己若是中毒了,学习!其原文地址是:http://bbs.ikaka.com/showtopic-8592261-1.aspx 作者: baohe usp10.dll木马群的手工杀…

今天一个朋友中了这个病毒,看到了这个手工杀毒的方法,转载到这里,留待自己若是中毒了,学习!其原文地址是:http://bbs.ikaka.com/showtopic-8592261-1.aspx

作者: baohe

 

usp10.dll木马群的手工杀毒流程

病毒样本来自剑盟。文件大小:38.4K;MD5值:395d9da8489b15e0a201460669f45511。

这个木马群貌似是机器狗的变种,但中招后比原来的旧版机器狗难杀。原因在于:

1、此毒的驱动msiffei.sys加载后恢复SSDT,可用的工具大多失效。预先打开的IceSword,如果没有其它工具守护也会被此毒关掉。
2、此毒在非系统分区含.exe文件的所有文件夹中释放病毒程序usp10.dll(隐藏的)。这个dll貌似随explorer.exe运行。因此,中招后重装系统者(仅仅改变系统分区内容)往往出现“重装后系统依然带毒”的情形。
3、连接网络的状态下,此毒下载明目繁多的“随机数字”名(无后缀)病毒程序到当前用户临时文件夹Temp中。这些程序加载后,在%system%目录下逐一释放病毒dll(很多)。
4、此毒在%windows%/Tasks/目录下释放一个名为“1”(无后缀)的病毒文件,手工杀毒时,此文件容易被中招者忽略。
5、此毒还释放下列病毒文件:
C:/windows/fonts/ComRes.dll
C:/WINDOWS/Fonts/ctm01025.fon
C:/WINDOWS/Fonts/ctm01025.ttf
C:/WINDOWS/Fonts/ctm04004.fon
C:/WINDOWS/Fonts/ctm04004.ttf
C:/WINDOWS/Fonts/ctm07015.fon
C:/WINDOWS/Fonts/ctm07015.ttf
C:/WINDOWS/Fonts/ctm09003.fon
C:/WINDOWS/Fonts/ctm09003.ttf
C:/WINDOWS/Fonts/ctm11008.fon
C:/WINDOWS/Fonts/ctm11008.ttf
C:/WINDOWS/Fonts/ctm12004.fon
C:/WINDOWS/Fonts/ctm12004.ttf               
c:/program files/internet explorer/powernent.onz
6、 此毒比较阴损,通过替换系统驱动beep.sys替换系统程序userinit.exe,还篡改win.ini文件。在中毒状态下,查看被篡改的 win.ini文件的内容——————无异常。如果中招用户仅仅将后面附表中所列的病毒文件统统删除,而忘记将这两个重要系统文件复原,那么下次系统启动 时,用户无法进入系统。


使用Autoruns、WINRAR配合XDELBOX 1.8 的手工杀毒流程:

1、先打开WINRAR,查看当前用户临时文件夹Temp、C:/WINDOWS/Fonts、C:/Program Files/Internet Explorer/等目录下的内容。将将所见病毒程序逐一记录在一个记事本文件中。
2、用autoruns扫日志。将autoruns日志发现的病毒程序也逐一记入前面的记事本文件中(图1)。

3、 用U盘从正常同类系统的电脑上拷贝C:/WINDOWS/ win.ini(改名为0.txt)以及C:/WINDOWS/system32/userinit.exe(改名为0.exe),然后,将U盘中的C: /WINDOWS/0.txt和C:/WINDOWS/system32/0.exe分别拷贝到%WINDOWS%目录和%system%目录下。
将下列内容也粘贴到上述记事本文件中:
dos#ren C:/WINDOWS/0.txt win.ini
dos#ren C:/WINDOWS/system32/0.exe userinit.exe
4、全选记事本文件的所有内容(图1),按ctrl_C。



5、打开XDELBOX,右击XDELBOX窗口,点击:“剪贴板导入不检查路径”。将病毒程序名全部导入(图2)。



6、点击“抑制再生”(图3)



7、右击XDELBOX窗口,点击“立即重启执行删除”(图4)。



系统重启后,XDELBOX进入DOS环境,逐一将导入的病毒程序删除,并将C:/WINDOWS/0.txt 改名为win.ini;将C:/WINDOWS/system32/0.exe 改名为userinit.exe。然后重启到windows系统。

8、重新进入系统后,打扫一下垃圾(清除注册表中病毒添加的加载项以及XDELBOX为抑制病毒程序再生而创建的同名文件夹;图5-图13)。然后,删除病毒添加的IFEO劫持项(我这里见到的是劫持瑞星2009和迅雷)。

最后,将hosts文件中病毒添加的内容删除,保存hosts。


图5:


图6



图7





图8



图9



图10



图11



图12




图13

 

注意:
1、appinit_dll项可能很难删除。用IceSword强制删除只即可。删除后,自己再重建一个,填上正常的键值即可(瑞星用户此键值是kmon.dll)

2、有中招者反映:中此毒后,系统程序ctfmon.exe和rpcss.dll被病毒替换。我这里查过,对比中招前后的这两个文件的大小和MD5,均无改变。因此,未处理这两个文件。
如果有确实证据显示这两个文件被病毒搞了,请将其复原(从dllcache目录下拷贝到system32目录下;也可从未中此毒的电脑中拷贝这两个文件到已经手工杀毒后的中招电脑中)。

————————————————————

附上我完全中招后找到的全部病毒文件列表(病毒文件名是变化的。此表仅供参考):

C:/Documents and Settings/baohelin/Local Settings/Temp/109ef1.dll
C:/Documents and Settings/baohelin/Local Settings/Temp/1157238
C:/Documents and Settings/baohelin/Local Settings/Temp/5F.tmp.bat
C:/Documents and Settings/baohelin/Local Settings/Temp/b.bat
C:/Documents and Settings/baohelin/Local Settings/Temp/WowInitcode.dat
C:/Documents and Settings/baohelin/Local Settings/Temp/wsasystem.gif
C:/Documents and Settings/baohelin/Local Settings/Temp/11231237
C:/Documents and Settings/baohelin/Local Settings/Temp/1437460
C:/Documents and Settings/baohelin/Local Settings/Temp/1518277
C:/Documents and Settings/baohelin/Local Settings/Temp/1529262
C:/WINDOWS/system32/drivers/msiffei.sys
C:/WINDOWS/system32/drivers/beep.sys
c:/windows/system32/6BB957B4.dat
c:/windows/system32/anymie360.exe
c:/windows/system32/anymie360.dll
c:/windows/system32/anymie360.ini
c:/windows/system32/jgbpepnb.dll
c:/windows/system32/jkglggoa.dll
c:/windows/system32/jaijjgib.dll
c:/windows/system32/kmkkbnkf.dll
c:/windows/system32/mnmijfnp.dll
c:/windows/system32/mcfkkald.dll
c:/windows/system32/oohelamb.dll
c:/windows/system32/bmnejfck.dll
c:/windows/system32/cpjbmhmm.dll
c:/windows/system32/dpabnlge.dll
c:/windows/system32/finhiabn.dll
c:/windows/system32/fennkeag.dll
c:/windows/system32/bmnejfck.dll
c:/windows/system32/cpjbmhmm.dll
c:/windows/system32/dpabnlge.dll
c:/windows/system32/fennkeag.dll
c:/windows/system32/finhiabn.dll
c:/windows/system32/jaijjgib.dll
c:/windows/system32/jgbpepnb.dll
c:/windows/system32/jkglggoa.dll
c:/windows/system32/kmkkbnkf.dll
c:/windows/system32/mcfkkald.dll
c:/windows/system32/mnmijfnp.dll
c:/windows/system32/ooamfhbi.dll
c:/windows/system32/oohelamb.dll
c:/program files/internet explorer/powernent.onz
c:/windows/system32/Drivers/msiffei.sys
c:/windows/system32/6bb957b4.dat
c:/windows/system32/bmnejfck.dll
C:/windows/fonts/ComRes.dll
C:/windows/Tasks/1
e:/usp10.dll
c:/windows/fonts/comres.dll
c:/windows/system32/cpjbmhmm.dll
c:/windows/system32/dpabnlge.dll
c:/windows/system32/fennkeag.dll
c:/windows/system32/finhiabn.dll
c:/windows/system32/jaijjgib.dll
c:/windows/system32/jkglggoa.dll
c:/windows/system32/kmkkbnkf.dll
c:/windows/system32/mcfkkald.dll
c:/windows/system32/mnmijfnp.dll
c:/windows/system32/ooamfhbi.dll
c:/windows/system32/oohelamb.dll
C:/WINDOWS/Fonts/ctm01025.fon
C:/WINDOWS/Fonts/ctm01025.ttf
C:/WINDOWS/Fonts/ctm04004.fon
C:/WINDOWS/Fonts/ctm04004.ttf
C:/WINDOWS/Fonts/ctm07015.fon
C:/WINDOWS/Fonts/ctm07015.ttf
C:/WINDOWS/Fonts/ctm09003.fon
C:/WINDOWS/Fonts/ctm09003.ttf
C:/WINDOWS/Fonts/ctm11008.fon
C:/WINDOWS/Fonts/ctm11008.ttf
C:/WINDOWS/Fonts/ctm12004.fon
C:/WINDOWS/Fonts/ctm12004.ttf
C:/WINDOWS/Fonts/CtmRes.dll

附件就是XDELBOX 1.8 ,无密码。

附件: XDELBOX.rar http://bbs.ikaka.com/attachment.aspx?attachmentid=483885

 

 

 

 

 

 

 

 

 

 

 

 

 

 

http://www.hkea.cn/news/786887/

相关文章:

  • 著名的深圳网站建设网页快照
  • 政务网站建设要求快速排名软件哪个好
  • 自己网站怎么做优化色盲和色弱的区别
  • 苏州建网站公司seo网络推广培训班
  • 福清市建设局网站石家庄学院
  • 找考卷做要去哪个网站中国国家培训网官网查询
  • 软件系统开发的大概步骤优化网站标题名词解释
  • 院校网站建设模板建站平台
  • 淘宝网站内搜索引擎优化怎么做广告推广平台网站有哪些
  • 大片播放网站国外免费推广网站有哪些
  • flash网站cms排名sem优化软件
  • 申请完域名怎么做网站百度链接提交
  • 驻马店市可以做网站的公司百度搜索竞价排名
  • 郑州市做网站吉林百度查关键词排名
  • 济宁网站建设seo抖音seo源码搭建
  • 茂名网站建设方案书简述seo和sem的区别
  • 江西网站做的好的企业文化百度指数在哪里看
  • 山东电商网站建设seo网站排名优化公司
  • 赤峰市做网站公司今日的最新消息
  • 上海最大的贸易公司seo网络推广机构
  • jsp 网站开发广告发布平台
  • b2c网站综合对比评价站长统计幸福宝
  • 网站建设意见做推广app赚钱的项目
  • 哈尔滨营销网站制作做外贸推广
  • 深圳网站建设外贸公司排名搜索热词排名
  • 网络科技公司招聘可靠吗seo多久可以学会
  • 企业网站建设的方案ppt网络营销的特点主要包括什么
  • 如何自行建设网站推广关键词优化
  • 建设学院网站百度收录关键词查询
  • 有关外贸的网站有哪些内容武汉抖音seo搜索