endurer 原创
2007-04-04 第1版
昨晚，一位网友说，他的电脑工作速度很慢，浏览网页时自动弹广告，让偶帮助检查一下。
让他先用HijackThis（可到http://endurer.ys168.com下载）扫描log传过来一看，估计是Viking了。
让他传了几个可疑文件过来。
同时到江民网站下载了Viking专杀工具传给网友查杀，果然清除了一些。
又将pe_xscan、ProcView（可到http://endurer.ys168.com下载）、IceSword（可到http://endurer.ys168.com下载）传了过去。
通过在线网页分析网友传回的pe_xscan的log，发现可疑项目：
/===
pe_xscan 07-03-17 by Purple Endurer
2007-4-3 22:38:52
Windows XP Service Pack 2(5.1.2600)
管理员用户组
[System Process] * 0
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\LgSy0.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rav20.dll
C:\WINDOWS\System32\svchost.exe * 892
c:\windows\system32\bxwhj.dll
c:\program files\iesnap\navoct.dll 2007-3-12 10:28:46
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\WINDOWS\system32\EXPLORER.EXE * 1520 2006-10-25 8:32:36
C:\WINDOWS\system32\EXPLORER.EXE 2006-10-25 8:32:36
C:\Program Files\Common Files\Microsoft Shared\MSINFO\NewInfo.rxk 2007-4-3 11:44:24
C:\WINDOWS\system32\winform.dll 2007-4-3 11:44:26
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\LgSy0.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rav20.dll
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
c:\windows\system32\bxwhj.dll
C:\WINDOWS\Explorer.EXE * 1548
C:\PROGRA~1\WinKld\Winkld.dat 2006-4-30 15:18:52
C:\PROGRA~1\gxcj\hydk.nls 2007-4-2 17:45:12
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\LgSy0.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rav20.dll
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\Program Files\superutilbar\superutilbar.dll 2007-3-19 9:44:48
C:\Documents and Settings\Administrator\Application Data\Foxy\LinkMaker.dll 2006-12-24 13:34:50
C:\WINDOWS\VM_STI.EXE * 1744 2005-2-28 17:53:4
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\WINDOWS\system32\ctfmon.exe * 1836
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\WINDOWS\system32\rundll32.exe * 288
C:\PROGRA~1\bvxe\ofkr.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\tkpw.dll 2007-4-2 17:7:24
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\WINDOWS\system32\nvsvc32.exe * 440 2005-12-10 3:6:0
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
c:\PROGRA~1\iesnap\navplay.exe * 2204 2007-3-12 10:28:22
c:\PROGRA~1\iesnap\navplay.exe 2007-3-12 10:28:22
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\Program Files\Internet Explorer\iexplore.exe * 1380 2004-8-17 20:0:0
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\Program Files\superutilbar\superutilbar.dll 2007-3-19 9:44:48
c:\PROGRA~1\iesnap\navpref.dll 2007-3-12 10:28:8
c:\PROGRA~1\iesnap\navseg.dll 2007-3-12 10:28:12
c:\PROGRA~1\iesnap\navneg.dll 2007-3-12 10:28:20
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\LgSy0.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rav20.dll
C:\WINDOWS\system32\conime.exe * 2764
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\Program Files\QQ2006\QQ.exe * 5340 2006-5-9 17:23:22
C:\WINDOWS\system32\baqftx.dll 2007-4-3 11:44:26
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\LgSy0.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rav20.dll
C:\Program Files\QQ2006\TIMPlatform.exe * 6124 2006-4-25 16:13:36
c:\PROGRA~1\iesnap\navstub.dll 2007-3-12 10:28:38
C:\PROGRA~1\bvxe\rinu.dll 2007-4-2 17:7:24
C:\PROGRA~1\bvxe\wnsw.dll 2007-4-2 17:7:24
wsctf.exe * 4508
F2 - REG: system.ini: UserInit=userinit.exe,EXPLORER.EXE
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\YDRAGS~1.DLL (file missing)
O2 - BHO: 实用搜索 - {6CFD436C-7AAD-4e50-992F-C0C87A94CAD2} - C:\Program Files\superutilbar\superutilbar.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: 实用搜索工具条2.0 - {03465FF5-00AE-411a-9C34-960ED566EC03} - C:\Program Files\superutilbar\superutilbar.dll
O4 - HKCR\..\Run: [BSserver] FileKan.exe
O4 - HKCR\..\Run: [foxy] "C:\Program Files\摩力游下载器\Foxy.exe" -tray
O4 - HKCR\..\Run: [EXPLORER.EXE] EXPLORER.EXE
O4 - HKCR\..\Run: [wsctf.exe] wsctf.exe
O4 - HKCR\..\Run: [5ikbi] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winlog0n.exe
O4 - HKCR\..\Run: [mq2j0v88lr8b] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\rundl132.exe
O4 - HKCR\..\Run: [16jt8321q] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\iexpl0re.exe
O4 - HKLM\..\Run: [ASocksrv] SocksA.exe
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE Vimicro USB PC Camera (ZC0301PL)
O4 - HKLM\..\Run: [System] C:\Program Files\Common Files\System\Updaterun.exe
O4 - HKLM\..\Run: [winform] C:\WINDOWS\winform.exe
O4 - HKLM\..\Run: [nrauax] C:\WINDOWS\system32\baqftx.exe
D:\autorun.inf
/-----
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe
shell\Auto\command=sxs.exe
-----/
E:\autorun.inf
/-----
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe
shell\Auto\command=sxs.exe
-----/
F:\autorun.inf
/-----
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe
shell\Auto\command=sxs.exe
-----/
O8 - IE右键菜单附加项 : Foxy 下载 - res://C:\Program Files\摩力游下载器\Foxy.exe/download.htm
O8 - IE右键菜单附加项 : Foxy 搜索 - res://C:\Program Files\摩力游下载器\Foxy.exe/search.htm
O21 - SSODL - SysTime(88Dog.Kalendar) - {724C75F1-B757-408D-A50A-4CF99DA35D73} = C:\PROGRA~1\WinKld\WinKld.dll
O21 - SSODL - hydk(Windows hydk Theme) - {7FCA49CC-AC89-473E-98EC-A62AFBDCA32A} = C:\PROGRA~1\gxcj\hydk.dll
O23 - 服务: Investor (Remote Route Service) - C:\WINDOWS\System32\svchost.exe -k netsvcs -> C:\WINDOWS\system32\bxwhj.dll Microsoft(R) Windows(R) Operating System 5.1.2600.0 szdj Copyright (C) Microsoft Corporation 1990-2000 5.1.2600.0 Microsoft Corporation ? szdj szdj.dll(自动)
O23 - 服务: jafm (Std jafm Service) - C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\bvxe\ofkr.dll,Service -s(自动)
O23 - 服务: Navoct () - C:\WINDOWS\System32\svchost.exe -k netsvcs -> C:\Program Files\iesnap\navoct.dll 2007-3-12 10:28:46 NAVOCT 1, 0, 1, 1 NAVOCT Module Copyright 2006 1, 0, 1, 1 NAVOCT NAVOCT.DLL(自动)
O23 - 服务: SOCEESe (Indexing Data) - C:\WINDOWS\SYSTEM32\RUNDLL2000.EXE C:\WINDOWS\SYSTEM32\WBEM\CZKBM.DLL,Export 1087(自动)
O24 - [] - {A6011F8F-A7F8-49AA-9ADA-49127D43138F} = C:\Program Files\Common Files\Microsoft Shared\MSINFO\NewInfo.rxk
SHOWALL Type isn't dowrd
===/
使用ProcView和IceSword终止进程：
C:\WINDOWS\system32\EXPLORER.EXE
C:\WINDOWS\system32\wsctf.exe
C:\WINDOWS\system32\algsrv.exe
C:\WINDOWS\system32\baqftx.exe
C:\WINDOWS\SYSTEM32\RUNDLL2000.EXE
用WinRAR删除d、e、f盘下的 autorun.inf 和 sxs.exe。在c盘下发现 tel.xls.exe。
用HijackThis修复 F2--O21，删除O23
用瑞星卡卡安全助手卸载 O24
卸载：实用搜索
重启电脑到安全模式下
删除文件：
C:\Documents and Settings\Administrator\LOCALS~1\Temp\LgSy0.dll
C:\Documents and Settings\Administrator\LOCALS~1\Temp\Rav20.dll
C:\Documents and Settings\Administrator\LOCALS~1\Temp\winlog0n.exe
C:\Documents and Settings\Administrator\Temp\rundl132.exe
C:\Documents and Settings\Administrator\Temp\iexpl0re.exe
C:\Program Files\Common Files\Microsoft Shared\MSINFO\NewInfo.rxk
C:\Program Files\Common Files\System\Updaterun.exe
C:\WINDOWS\system32\baqftx.dll
C:\WINDOWS\system32\baqftx.exe
c:\windows\system32\bxwhj.dll
c:\windows\system32\EXPLORER.EXE
C:\WINDOWS\SYSTEM32\RUNDLL2000.EXE C:\WINDOWS\SYSTEM32\WBEM\CZKBM.DLL
C:\WINDOWS\winform.exe
C:\WINDOWS\system32\winform.dll
c:\windows\system32\wsctf.dll
c:\windows\system32\wsctf.exe
C:\WINDOWS\SYSTEM32\WBEM\CZKBM.DLL
FileKan.exe(一般是在C:\WINDOWS\system32下)
SocksA.exe(一般是在C:\WINDOWS\system32下)
删除文件夹：
C:\Documents and Settings\Administrator\Application Data\Foxy
c:\program files\bvxe
c:\program files\gxcj
c:\program files\iesnap
c:\program files\WinKld
C:\Program Files\superutilbar
用开始-->程序-->附件-->系统工具-->磁盘清理 来清理C盘
用WinRAR 清空 c:\windows\prefetch
参考：【系统修复系列之】如何 显示所有的文件和文件夹
http://endurer.blogchina.com/2590659.html
来修复：SHOWALL Type isn't dowrd
文件说明符 : D:\test\sxs.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 23:25:37
修改时间 : 2007-4-3 23:26:3
访问时间 : 2007-4-4 20:49:25
大小 : 37725 字节 36.861 KB
MD5 : 25f7ddf928dcb04b51987d7e4bdde809
baqftx.exe与此相同。
Kaspersky 报为 Trojan-PSW.Win32.QQPass.se，瑞星 报为 Trojan.PSW.QQPass.rdr
文件说明符 : D:\test\tel.xls.exe
属性 : A---
语言 : 中文(中国)
文件版本 : 2.00
说明 :
版权 :
备注 :
产品版本 : 2.00
产品名称 : FireWall Files
公司名称 : Microsoft Corp.
合法商标 :
内部名称 : test
源文件名 : test.exe
创建时间 : 2007-4-3 23:20:40
修改时间 : 2007-4-3 23:20:52
访问时间 : 2007-4-4 20:49:54
大小 : 69632 字节 68.0 KB
MD5 : 40dbf5d5f83400a1901b9a7f8d294d5e
algsrv.exe与tel.xls.exe相同。
Kaspersky 报为 Trojan.Win32.VB.atg，瑞星 报为 Trojan.VB.vtj
文件说明符 : D:\test\NewInfo.rxk
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 22:57:40
修改时间 : 2007-4-3 22:57:45
访问时间 : 2007-4-4 20:54:18
大小 : 27301 字节 26.677 KB
MD5 : 69e32435d00cff4f8ca09059e5dc6bfc
Kaspersky 报为 Trojan-PSW.Win32.Delf.qc，瑞星 报为 Trojan.PSW.Liumazi.kr
文件说明符 : D:\test\wsctf.exe
属性 : A---
语言 : 中文(中国)
文件版本 : 5.2600.2180
说明 : Generic Host service for Win32 Services
版权 : (C) Microsoft Corporation. All rights reserved.
备注 : Generic Host service for Win32 Services
产品版本 : 5.2600.2180
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : wsctf
源文件名 : wsctf.exe
创建时间 : 2007-4-3 22:14:24
修改时间 : 2007-4-3 22:14:28
访问时间 : 2007-4-4 20:58:20
大小 : 24576 字节 24.0 KB
MD5 : cbdcf0ab0561540891a3e466147a4ce4
Kaspersky 报为 Virus.Win32.VB.bu，瑞星 报为 Trojan.PSW.SBoy.b
文件说明符 : D:\test\winform.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 22:14:3
修改时间 : 2007-4-3 22:14:15
访问时间 : 2007-4-4 21:2:17
大小 : 17920 字节 17.512 KB
MD5 : 72cf3bc3a233ec373303de7a81dd4051
Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.es，瑞星 报为 Trojan.PSW.OnlineGames.aas
文件说明符 : D:\test\winlog0n.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 22:11:55
修改时间 : 2007-4-3 22:13:8
访问时间 : 2007-4-4 21:5:10
大小 : 33690 字节 32.922 KB
MD5 : 4cb1851156c0b3f6dda4092462f57222
Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.kw，瑞星 报为 Trojan.PSW.OnLineGames.abo
文件说明符 : D:\test\iexpl0re.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 22:12:59
修改时间 : 2007-4-3 22:13:17
访问时间 : 2007-4-4 21:6:58
大小 : 52736 字节 51.512 KB
MD5 : 05366f5d07a2a45b3d076f4a27f21a74
文件说明符 : D:\test\rundl132.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 22:9:56
修改时间 : 2007-4-3 22:12:10
访问时间 : 2007-4-4 21:16:20
大小 : 33244 字节 32.476 KB
MD5 : dfd16dbc703e1359c22dffaf91251738
文件说明符 : D:\test\Updaterun.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-4-3 22:32:4
修改时间 : 2007-4-3 22:32:16
访问时间 : 2007-4-4 21:28:56
大小 : 36864 字节 36.0 KB
MD5 : 42d61fba39892131e0c81472d291bc61
没有评论:
发表评论