遭遇使用映像劫持的Worm.Agent.wk,Trojan.PSW.OnlineGames.caw等2

我不是女神ヾ 2024-02-17 14:01 50阅读 0赞

**endurer** 原创  
2007-06-10 第**1**版

（续）

pe\_xscan 的 log 中的 O26 项就是列出的就是映像劫持，可以看到 HijackThis、卡卡安全助手、毒霸的程序榜上有名。

另外，WinRAR开一会就会被关掉，重启电脑时选择以安全模式启动后，机子直接重启了。

由于regedit.exe没有被映像劫持，所以可以直接打开，删除注册表中的O26(映像劫持)的项目和O23的项目。

下载Dr.Web CureIt!查杀了一次，有几个注入系统进程的DLL要will be cured after reboot。

运行FreeDLL。  
到 [http://endurer.ys168.com][http_endurer.ys168.com] 下载IceSword，并改名运行，卸掉注入\[System Process\] \* 0的可疑DLL模块，再用FreeDLL从所有进程卸掉可疑DLL模块。

![o_FreeDLL02.jpg][]

用 bat\_do 删除可疑文件 和 D、E、F盘上的 autorun.inf 和 06B4D0BF.exe。  
  
重新下载安装卡卡安全助手，处理 O4，O24 和 025。

由于时间关系，只把其中一部分可疑文件发到了邮箱，Dr.Web CureIt!的扫描日志文件也没有发到邮箱。

文件说明符 : C:/windows/Kvsc3.exe  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-9 18:35:26  
修改时间 : 2007-6-10 7:59:28  
访问时间 : 2007-6-9 0:0:0  
大小 : 5448 字节 5.328 KB  
MD5 : fb952bb5c32fa9b8cef8e46da750a928

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.tw**，瑞星报为 **Trojan.PSW.OnlineGames.bnr**

文件说明符 : C:/windows/system32/000.exe  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-9 18:22:21  
修改时间 : 2007-5-16 10:13:30  
访问时间 : 2007-6-9 0:0:0  
大小 : 16652 字节 16.268 KB  
MD5 : 07c7128add5aed0197d66a15a59960d7

Kapsersky 报为 **Trojan-Downloader.Win32.Delf.bjy**，瑞星报为 **Trojan.DL.Small.vax**

文件说明符 : C:/Program Files/Common Files/Microsoft Shared/MSINFO/06B4D0BF.dll  
属性 : -SHR  
获取文件版本信息大小失败!  
创建时间 : 2007-6-9 12:57:44  
修改时间 : 2007-6-9 12:57:46  
访问时间 : 2007-6-11 0:0:0  
大小 : 46675 字节 45.595 KB  
MD5 : 7face3453c0f9e1d4c541daeed12058a

Kapsersky 报为 **Worm.Win32.Delf.cc**，瑞星报为 **Worm.Agent.wk**

文件说明符 : C:/PROGRA~1/COMMON~1/MICROS~1/MSINFO/06B4D0BF.dat  
属性 : -SHR  
获取文件版本信息大小失败!  
创建时间 : 2007-6-9 12:57:44  
修改时间 : 2007-6-9 12:56:22  
访问时间 : 2007-6-11 0:0:0  
大小 : 33363 字节 32.595 KB  
MD5 : a785a2729bfbb5af9ba644d578b8eecc

Kapsersky 报为 **Worm.Win32.Delf.cc**，瑞星报为 **Worm.Agent.wk**

文件说明符 : c:/windows/system32/msdebug.dll  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 7:59:44  
修改时间 : 2007-6-10 7:59:46  
访问时间 : 2007-6-11 0:0:0  
大小 : 19456 字节 19.0 KB  
MD5 : 6023cb050eca231c1329cf46b8d7fadc

文件说明符 : c:/windows/system32/lyloader.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 7:59:19  
修改时间 : 2007-6-10 7:59:20  
访问时间 : 2007-6-11 0:0:0  
大小 : 10336 字节 10.96 KB  
MD5 : c92163fc0a87d4091f8e099d93916599  
Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.nn**，瑞星报为 **Trojan.PSW.XYOnline.qe**

文件说明符 : c:/windows/system32/lyloadmr.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 19:7:35  
修改时间 : 2007-6-10 20:13:18  
访问时间 : 2007-6-11 0:0:0  
大小 : 8048 字节 7.880 KB  
MD5 : cbe55415ba598b685f5d9152f643b0eb

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.te**，瑞星报为 **Trojan.PSW.OnlineGames.ccy**

文件说明符 : F:/06B4D0BF.exe  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-9 12:57:54  
修改时间 : 2007-6-9 12:56:22  
访问时间 : 2007-6-11 0:0:0  
大小 : 33363 字节 32.595 KB  
MD5 : a785a2729bfbb5af9ba644d578b8eecc

文件说明符 : D:/test/jh\[1\].exe  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 22:11:3  
修改时间 : 2007-6-10 7:59:44  
访问时间 : 2007-6-10 0:0:0  
大小 : 18320 字节 17.912 KB  
MD5 : 4cc8a79ad12727deac582d5cd74680ae

Kapsersky 报为 **Trojan-Proxy.Win32.Small.du**，瑞星报为 **Trojan.PSW.OnlineGames.caw**

文件说明符 : C:/WINDOWS/system32/nwiztlbu.exe  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 22:13:53  
修改时间 : 2007-6-10 7:59:48  
访问时间 : 2007-6-10 0:0:0  
大小 : 10260 字节 10.20 KB  
MD5 : 66c45db57837d5d3f779ecda9c5018c4

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.rc**，瑞星报为 **Trojan.PSW.OnlineGames.cfg**

文件说明符 : D:/test/bpakwh.dll  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 22:18:37  
修改时间 : 2005-5-25 17:19:2  
访问时间 : 2007-6-10 0:0:0  
大小 : 13824 字节 13.512 KB  
MD5 : 85dd0607cd69ab0773b58e0dbc7bb498

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.rt**，瑞星报为 **Trojan.PSW.WoWar.ahn**

文件说明符 : D:/test/~tmp6334.exe  
属性 : ----  
语言 : 英语(美国)  
文件版本 :  
说明 :  
版权 : (C) Microsoft Corporation. All rights reserved.  
备注 :  
产品版本 :  
产品名称 : Microsoft(R) Windows(R) Operating System  
公司名称 : Microsoft Corporation  
合法商标 :  
内部名称 :  
源文件名 :  
创建时间 : 2007-6-10 22:21:29  
修改时间 : 2007-5-25 17:13:30  
访问时间 : 2007-6-10 0:0:0  
大小 : 17789 字节 17.381 KB  
MD5 : 1f96f269d4c3ab049cf039ee5092511d

Kapsersky 报为 **Backdoor.Win32.Agent.ahj**，瑞星报为 **Trojan.IMMSG.TBMsg.ff**

文件说明符 : D:/test/rising747.exe  
属性 : ----  
获取文件版本信息大小失败!  
创建时间 : 2007-6-10 22:25:51  
修改时间 : 2007-5-25 17:13:28  
访问时间 : 2007-6-10 0:0:0  
大小 : 52620 字节 51.396 KB  
MD5 : e44cac970a9a82c39880124c24093ce2

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.fq**，瑞星报为 **Trojan.Mnless.lxv**

另外在C:/Documents and Settings/Administrator发现：

C:/Documents and Settings/Administrator/msinfo.vbs的内容：  
/---  
Set Shell = CreateObject("Wscript.Shell")  
Shell.Run ("msinfo.exe")  
Set Shell = Nothing  
\---/

文件说明符 : C:/Documents and Settings/Administrator/msinfo.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-17 8:50:55  
修改时间 : 2007-5-17 10:22:2  
访问时间 : 2007-6-11 0:0:0  
大小 : 17254 字节 16.870 KB  
MD5 : e2fc361009ee1ea92eb5f0626e13b620

STATUS: FINISHED

Complete scanning result of "msinfo.exe", received in VirusTotal at 06.10.2007, 16:20:52 (CET).

<table> 
 <thead> 
  <tr> 
   <td>Antivirus</td> 
   <td>Version</td> 
   <td align="center">Update</td> 
   <td>Result</td> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>AhnLab-V3</td> 
   <td>2007.6.9.0</td> 
   <td align="center">06.08.2007</td> 
   <td><strong><font>Win-Trojan/Hupigon.Gen</font></strong></td> 
  </tr> 
  <tr> 
   <td>AntiVir</td> 
   <td>7.4.0.32</td> 
   <td align="center">06.09.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Authentium</td> 
   <td>4.93.8</td> 
   <td align="center">05.23.2007</td> 
   <td>could be a corrupted executable file</td> 
  </tr> 
  <tr> 
   <td>Avast</td> 
   <td>4.7.997.0</td> 
   <td align="center">06.09.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>AVG</td> 
   <td>7.5.0.467</td> 
   <td align="center">06.09.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>BitDefender</td> 
   <td>7.2</td> 
   <td align="center">06.10.2007</td> 
   <td><strong><font>Trojan.Downloader.Delf.NRY</font></strong></td> 
  </tr> 
  <tr> 
   <td>CAT-QuickHeal</td> 
   <td>9.00</td> 
   <td align="center">06.09.2007</td> 
   <td><strong><font>TrojanDownloader.Delf.bjy</font></strong></td> 
  </tr> 
  <tr> 
   <td>ClamAV</td> 
   <td>devel-20070416</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>DrWeb</td> 
   <td>4.33</td> 
   <td align="center">06.10.2007</td> 
   <td><strong><font>Win32.HLLW.Creater</font></strong></td> 
  </tr> 
  <tr> 
   <td>eSafe</td> 
   <td>7.0.15.0</td> 
   <td align="center">06.06.2007</td> 
   <td>suspicious Trojan/Worm</td> 
  </tr> 
  <tr> 
   <td>eTrust-Vet</td> 
   <td>30.7.3707</td> 
   <td align="center">06.09.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Ewido</td> 
   <td>4.0</td> 
   <td align="center">06.10.2007</td> 
   <td><strong><font>Downloader.Delf.bjy</font></strong></td> 
  </tr> 
  <tr> 
   <td>FileAdvisor</td> 
   <td>1</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Fortinet</td> 
   <td>2.85.0.0</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>F-Prot</td> 
   <td>4.3.2.48</td> 
   <td align="center">06.08.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>F-Secure</td> 
   <td>6.70.13030.0</td> 
   <td align="center">06.08.2007</td> 
   <td><strong><font>W32/Delf.AGLS</font></strong></td> 
  </tr> 
  <tr> 
   <td>Ikarus</td> 
   <td>T3.1.1.8</td> 
   <td align="center">06.10.2007</td> 
   <td><strong><font>Trojan-PWS.Win32.QQPass.pb</font></strong></td> 
  </tr> 
  <tr> 
   <td>Kaspersky</td> 
   <td>4.0.2.24</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>McAfee</td> 
   <td>5049</td> 
   <td align="center">06.08.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Microsoft</td> 
   <td>1.2503</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>NOD32v2</td> 
   <td>2321</td> 
   <td align="center">06.10.2007</td> 
   <td>unpack error</td> 
  </tr> 
  <tr> 
   <td>Norman</td> 
   <td>5.80.02</td> 
   <td align="center">06.08.2007</td> 
   <td><strong><font>W32/Delf.AGLS</font></strong></td> 
  </tr> 
  <tr> 
   <td>Panda</td> 
   <td>9.0.0.4</td> 
   <td align="center">06.10.2007</td> 
   <td>Suspicious file</td> 
  </tr> 
  <tr> 
   <td>Prevx1</td> 
   <td>V2</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Sophos</td> 
   <td>4.18.0</td> 
   <td align="center">06.01.2007</td> 
   <td><strong><font>W32/Versie-Fam</font></strong></td> 
  </tr> 
  <tr> 
   <td>Sunbelt</td> 
   <td>2.2.907.0</td> 
   <td align="center">06.09.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Symantec</td> 
   <td>10</td> 
   <td align="center">06.10.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>TheHacker</td> 
   <td>6.1.6.131</td> 
   <td align="center">06.08.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>VBA32</td> 
   <td>3.12.0</td> 
   <td align="center">06.10.2007</td> 
   <td>suspected of <strong><font>Trojan-Dropper.Agent.35</font></strong></td> 
  </tr> 
  <tr> 
   <td>VirusBuster</td> 
   <td>4.3.23:9</td> 
   <td align="center">06.09.2007 </td> 
   <td>no virus found</td> 
  </tr> 
  <tr> 
   <td>Webwasher-Gateway</td> 
   <td>6.0.1</td> 
   <td align="center">06.10.2007</td> 
   <td><strong><font>Win32.Malware.dam</font></strong> (suspicious)</td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <thead> 
  <tr> 
   <td><span style="TEXT-DECORATION: underline">Aditional Information</span></td> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>File size: 17254 bytes</td> 
  </tr> 
  <tr> 
   <td>MD5: e2fc361009ee1ea92eb5f0626e13b620</td> 
  </tr> 
  <tr> 
   <td>SHA1: 49aa97b6cd54cb7367ff4ec073973fb67db008f2</td> 
  </tr> 
  <tr> 
   <td>packers: UPX</td> 
  </tr> 
  <tr> 
   <td>packers: UPX</td> 
  </tr> 
 </tbody> 
</table>

文件说明符 : C:/Documents and Settings/Administrator/hissys.dat  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-3-24 20:34:20  
修改时间 : 2007-3-27 11:42:56  
访问时间 : 2007-6-11 0:0:0  
大小 : 1609 字节 1.585 KB  
MD5 : db33675f6aabda4db8d07b3fb3e8ab61

[http_endurer.ys168.com]: http://endurer.ys168.com/
[o_FreeDLL02.jpg]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/705351ce703c46b58289bf3461c109dd.png