又遇劫持浏览器的Trojan.StartPage.tns/nwlnksipx.sys

endurer 原创
2007-05-07 第1版

昨天一位朋友说他的电脑查杀出了病毒，让偶帮助看看。

下载了 pe_xscan 扫描 log 并分析，发现如下可疑项：

pe_xscan 07-03-17 by Purple Endurer
2007-5-6 10:35:46
Windows XP Service Pack 2(5.1.2600)
管理员用户组

O2 - BHO IEObject Class - {5F5422F7-7159-4CB6-BE7D-2C7EED492762} - C:\PROGRA~1\COMMON~1\yehoo\yehoo.dll

O4 - Global Startup: -20676.lnk -> C:\WINDOWS\system32\-20676.exe
O4 - Global Startup: -20844.lnk -> C:\WINDOWS\system32\-20844.exe
O4 - Global Startup: rdgjhd.lnk -> C:\WINDOWS\system32\rdgjhdi.exe

O23 - 服务: nwlnksipx (nwlnksipx) - C:\WINDOWS\system32\drivers\nwlnksipx.sys(自动)

用 HijackThis 和 瑞星卡卡安全助手修复，再用auto_del 在下次启动时删除 nwlnksipx.sys。

这个东东曾在 遭遇万能搜索(WANSO,Trojan.AdPlayer.a)等 中遇到过。

文件说明符 : c:\windows\system32\drivers\nwlnksipx.sys
属性 : A---
语言 : 英语(美国)
文件版本 : 5.1.2600.80
说明 : NWLINK2 SIPX Protocol Driver
版权 : Microsoft Corporation. All rights reserved.
备注 :
产品版本 : 5.1.2600.80
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : nwlnksipx.sys
源文件名 : nwlnksipx.sys
创建时间 : 2004-8-17 20:0:0
修改时间 : 2004-8-17 20:0:0
访问时间 : 2007-5-6 10:32:30
大小 : 6144 字节 6.0 KB
MD5 : cbb860ee6715a2a968d19d0cd5eaaa7e

Kaspersky 报为 Trojan.Win32.StartPage.amo，瑞星 报为 Trojan.StartPage.tns。

Scanned file: nwlnksipx.sys - Infected

nwlnksipx.sys - infected by Trojan.Win32.StartPage.amo Statistics: Known viruses: 315008 Updated: 07-05-2007 File size (Kb): 6 Virus bodies: 1 Files: 1 Warnings: 0 Archives: 0 Suspicious: 0