遭遇my123.com劫持浏览器和yok

本是古典何须时尚 2024-02-17 13:43 9阅读 0赞

**endurer** 原创

2006-11-28 第**1**版

一位网友的电脑，最近江民杀毒软件总示发现yok\*.\*感染病毒，开机时会提示找不到文件，让偶帮忙检查。

打开IE，发现首页被设置为 hxxp://www.my123.com，到瑞星网站下载my123.com专杀工具，到 [http://endurer.ys168.com][http_endurer.ys168.com] 下载 HijackThis, ProcView。

用瑞星my123.com专杀工具扫描，没有发现可疑文件……汗！

江民KV好像没有历史记录导出功能，汗！

用 HijackThis 扫描 log，发现如下可疑项：  
/-------  
Logfile of HijackThis v1.99.1  
Scan saved at 13:27:08, on 2006-11-28  
Platform: Windows XP SP2 (WinNT 5.01.2600)  
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O2 - BHO: 珊瑚虫超级搜索 - \{75FE2B5A-D3A4-4EFA-AC11-ADC9C9459688\} - C:/PROGRA~1/yok/toolbar.dll

O4 - HKLM/../Run: \[yok.exe\] C:/WINDOWS/system32/rundll32.exe C:/PROGRA~1/yok/yok.dll,Rundll32

O4 - HKLM/../Run: \[dvhzso26\] C:/WINDOWS/system32/rundll32.exe C:/WINDOWS/system32/dvhzso26.dll,DllCanUnloadNow

O8 - Extra context menu item: 珊瑚虫超级搜索 - C:/PROGRA~1/yok/yoksch.htm  
\-------/

用 HijackThis 生成启动项列表，发现如下可疑服务：  
/-------  
StartupList report, 2006-11-28, 下午 02:02:12  
StartupList version: 1.52.2  
==================================================  
Enumerating Windows NT/2000/XP services

dvhzso26: System32/DRIVERS/dvhzso26.sys (system)

lybvrlcy: System32/DRIVERS/lybvrlcy.sys (system)

ngaacn74: system32/drivers/ngaacn74.sys (system)

TYKeeper: system32/drivers/TYKeeper.sys (system)

vhehnzrh: System32/DRIVERS/vhehnzrh.sys (system)

Windows 套接字 2 .0 Non-IFS 服务提供程序支持环境: /SystemRoot/System32/drivers/ws2ifsl.sys (disabled)  
\-------/

用WinRAR找到 C:/WINDOWS/system32/dvhzso26.dll，压缩时提示正在使用，接着江民KV2006实时监控提示dvhzso26.dll感染了rootkit.startpage。  
把江民KV2006实时监控关闭后，还是不能打包。

用 ProcView 导出系统进程列表，发现dvhzso26.dll注入到Explorer.EXE进程中。  
/-------  
Windows XP (5.1.2600 Service Pack 2)  
2006-11-28 13:40:51进程列表  
C:/WINDOWS/Explorer.EXE  
C:/WINDOWS/system32/dvhzso26.dll  
\-------/

用 HijackThis 修复上面列出的可疑项，发现修复不成功。  
用注册表编辑器把在 HijackThis 的启动项列表中发现的可疑服务的启动类型（start）改为5（禁用）。

清空IE临时文件夹和系统临时文件夹

让网友重启电脑到安全模式下把C:/WINDOWS/system32/dvhzso26.dll打包后删除，  
删除C:/PROGRA~1/yok。

过了一会，网友说C:/WINDOWS/system32/dvhzso26.dll删除不了，只删除了C:/PROGRA~1/yok。

再用 HijackThis 扫描 log，生成启动项列表，发现可疑的项目和服务还在。

system类型的系统服务就是牛。

到 [http://purpleendurer.ys168.com][http_purpleendurer.ys168.com] 下载 bat\_do。

把  
/----------  
C:/WINDOWS/system32/dvhzso26.dll  
C:/WINDOWS/System32/DRIVERS/dvhzso26.sys  
C:/WINDOWS/System32/lybvrlcy.dll  
C:/WINDOWS/System32/DRIVERS/lybvrlcy.sys  
C:/WINDOWS/system32/ngaacn74.dll  
C:/WINDOWS/system32/drivers/ngaacn74.sys  
C:/WINDOWS/system32/TYKeeper.dll  
C:/WINDOWS/system32/drivers/TYKeeper.sys  
C:/WINDOWS/System32/vhehnzrh.dll  
C:/WINDOWS/System32/DRIVERS/vhehnzrh.sys  
\----------/  
加入待处理文件列表，bat\_do提示文件不存在或者是文件夹时，仍然添加。  
点击“全部选中”按钮。  
在“设置属性”、“改名”和“删除”前打上钩。  
点击“生成命令”按钮。  
点击“重启时执行”按钮。

江民KV2006实时监控提示bat\_do修改删除表，允许。

对于system类型的系统服务，还是用autoexec.bat来删除相应的文件比较保险。

打开记事本，把生成的复制、粘贴到记事本中，保存为c:/autoexec.bat。

系统提示c:/autexec.bat只读。

在bat\_do窗口的“文件/命令框”中输入命令：attrib c:/autoexec.bat -h -r -s  
点击“执行命令”按钮。

再在记事本中保存为c:/autoexec.bat，OK！

让网友重启电脑。

网友重启电脑后说，开机时系统提示rundll出错。

让他用msconfig.exe把包含rundll32的启动项取消。

**dvhzso26.dll** Kaspersky 报为 **Trojan-Downloader.Win32.Agent.bbc**。

[http_endurer.ys168.com]: http://endurer.ys168.com/
[http_purpleendurer.ys168.com]: http://purpleendurer.ys168.com/