关于病毒Backdoor.Gpigeon.uql

endurer　原创

2006-05-13　第1版

有网友的电脑开机提示发现病毒Backdoor.Gpigeon.uql ，并发来了HijackThis扫描的log。

在log中发现如下可疑项目：

---

O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8033.dll

O2 - BHO: MEobjectSDT - {4136C3F6-7636-49bf-A122-D4DA53B1ADDF} - C:/WINDOWS/system32/shwasobj.dll

O2 - BHO: CpapView Class - {77962960-536E-47EC-9DDB-52651519705F} - C:/WINDOWS/system32/cacb.dll

O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:/WINDOWS/system32/AdvSC32.dll (file missing)

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:/PROGRA~1/FlashFXP/IEFlash.dll (file missing)

O4 - 启动项HKLM//Run: [igfxpers] C:/WINDOWS/system32/igfxpers.exe(如果是Intel公司的文件则不必处理)

O4 - 启动项HKLM//Run: [WangWang] D:/Program Files/淘宝网/淘宝旺旺/WangWang.EXE

O9 - 浏览器额外的按钮: (no name) - SolidConverterPDF - (no file) (HKCU)

O23 - NT 服务: ker - Unknown owner - C:/WINDOWS/cker.exe

---

修复建议：
以下修复工作中有关操作方法可参考：
【系统修复系列之】基本操作索引
http://endurer.blogchina.com/2591241.html

重新启动到安全模式开始--》设置--》控制面板--》管理工具--》服务
停止并禁用服务：ker

如果使用了系统还原功能, 请先关闭此功能。

设置系统显示所有文件和文件夹,不隐藏已知文件类型扩展名

寻找如下文件:

C:/WINDOWS/cker.exe
C:/WINDOWS/cker.dll
C:/WINDOWS/cker_key.dll
C:/WINDOWS/cker_hook.dll
C:/WINDOWS/system32/shwasobj.dll
C:/WINDOWS/system32/cacb.dll
C:/WINDOWS/system32/AdvSC32.dll
C:/WINDOWS/system32/igfxpers.exe(如果是Intel公司的文件则不必处理)
C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8033.dll

把找到的文件用压缩软件(如winrar, winzip)打包备份，待全部修复工作完成后，把压缩包作为email附件发到endurer@163.com,请在email中注明此贴的网址

删除文件:
C:/WINDOWS/cker.exe
C:/WINDOWS/cker.dll
C:/WINDOWS/cker_key.dll
C:/WINDOWS/cker_hook.dll
C:/WINDOWS/system32/shwasobj.dll
C:/WINDOWS/system32/cacb.dll
C:/WINDOWS/system32/AdvSC32.dll
C:/WINDOWS/system32/igfxpers.exe(如果是Intel公司的文件则不必处理)
C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8033.dll

删除文件夹：

D:/Program Files/淘宝网
C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper

关闭所有浏览器窗口和文件夹窗口，重新使用HijackThis扫描，在上列可疑项目前打上勾，然后点[修复](Fix)（如果你清楚某项是安全的，可以不处理）。

清空IE临时文件夹