遭遇灰鸽子变种、Viking 和 N多木马(第2版)

endurer　原创

2006-09-08　第2版 补充杀毒软件的反应
2006-09-07　第1版

有位网友的电脑，总告发现Backdoor.Gpigeon.uql。

于是通过QQ进行远程协助。

到 http://endurer.ys168.com 下载了HijackThis 扫描log，发现如下可疑项目：

/-------------------------
Logfile of HijackThis v1.99.1
Scan saved at 11:22:51, on 2006-9-7
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:/Program Files/Microsoft/svhost32.exe
C:/Program Files/LetsCool/LetsCool.exe
C:/Program Files/Zcom/ZComService.exe
C:/Program Files/Zcom/skin.dll
C:/Program Files/Internet Explorer/7Sy.exe

R3 - URLSearchHook: (no name) - {BB936323-19FA-4521-BA29-ECA6A121BC78} - (no file)

F3 - REG:win.ini: load=C:/WINDOWS/rundl132.exe

O2 - BHO: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:/PROGRA~1/Yahoo!/ASSIST~1/Assist/yasbar.dll

O2 - BHO: (no name) - {669751ED-D558-49AE-B01A-3B374CC7910E} - C:/WINDOWS/system32/ssup.dll

O2 - BHO: MAngle Class - {9A556B8F-FD02-420E-A1FD-9DB33808254E} - C:/Program Files/MySec/secmouseaan.dll

O3 - Toolbar: My 网蜜(&M) - {102293E4-758B-4483-946B-714EBCEC91B8} - C:/Program Files/MySec/secbaraan.dll

O2 - BHO: (no name) - {A9930D97-9CF0-42A0-A10D-4F28836579D5} - F:/音乐/KuGoo3/KuGoo3DownXControl.ocx

O2 - BHO: Letscool System Helper - {F0C15012-7DBD-4068-95A2-0A82DB03AC35} - C:/WINDOWS/system32/CoolBho.dll

O4 - HKLM/../Run: [ms] C:/Program Files/Microsoft/svhost32.exe

O4 - HKLM/../Run: [LetsCool] C:/Program Files/LetsCool/LetsCool.exe

O4 - HKLM/../Run: [stup.exe] C:/PROGRA~1/TENCENT/Adplus/stup.exe

O4 - HKLM/../Run: [_rx] C:/WINDOWS/rundll32.exe

O23 - Service: systen - Unknown owner - C:/WINDOWS/Hacker.com.cn.exe
-------------------------/

（下面的修复方法可参考：【系统修复系列之】基本操作索引
http://endurer.blogchina.com/2591241.html）

停止并禁用服务：systen

到 http://endurer.ys168.com 下载 ProcView，终止进程：
/-------------------------
C:/Program Files/Microsoft/svhost32.exe
C:/Program Files/LetsCool/LetsCool.exe
C:/Program Files/Zcom/ZComService.exe
C:/Program Files/Zcom/skin.dll
C:/Program Files/Internet Explorer/7Sy.exe
-------------------------/

用WinRAR检查下列文件夹，发现：

c:/
=====================================
internt.hta（Kaspersky 报为 Trojan-PSW.Win32.QQPass.hn）
rar.hta（Kaspersky 报为 Trojan-Downloader.JS.Small.cq）
vidll.dll（Kaspersky 报为 Worm.Win32.Viking.r，瑞星 报为 Worm.Viking.aa）

C:/Documents and Settings/user/Local Settings/temp
=====================================
g0ld.com（（Kaspersky 报为 Worm.Win32.Viking.r，DrWeb 报为 Win32.HLLW.Gavir.8，瑞星 报为 Worm.Viking.aa）
qq4[1].exe（Kaspersky 报为 Trojan.Win32.Delf.rf，DrWeb 报为 Trojan.PWS.Spywoool）

C:/Program Files
=====================================
svhost32.exe（DrWeb 报为 Trojan.PWS.Lineage）

C:/Program Files/Internet Explorer
=====================================
0Sy.exe（Kaspersky 报为 Trojan.Win32.Delf.rf，DrWeb 报为 Trojan.PWS.Spywoool）
3Sy.exe（Kaspersky 报为 Trojan-PSW.Win32.Lineage.aih，DrWeb 报为 Trojan.PWS.Lineage）
4Sy.exe（Kaspersky 报为 Trojan.PSW.Win32.Lineage.pj，DrWeb 报为 Trojan.PWS.Lineage）
5Sy.exe（Kaspersky 报为 Trojan-PSW.Win32.Agent.ic）
6Sy.exe（Kaspersky 报为 Trojan-PSW.Win32.Agent.ic）
7Sy.exe（Kaspersky 报为 Trojan-PSW.Win32.Lineage.acw，DrWeb 报为 Trojan.PWS.Lineage）

C:/Program Files/LetsCool
=====================================
LetsCool.exe（DrWeb 报为 Adware.Letscool）
Picdown.exe（DrWeb 报为 Trojan.DownLoader.12193）

C:/Program Files/Microsoft
=====================================
svhost32.exe（DrWeb 报为 Trojan.PWS.Lineage）

c:/windows
=====================================
rundll32.exe（图标类似记事本，Kaspersky 报为 Trojan-PSW.Win32.Lineage.aih）
rundl132.exe（Kaspersky 报为 Worm.Win32.Viking.r，瑞星 报为 Worm.Viking.aa，DrWeb 报为 Win32.HLLW.Gavir.8）

c:/windows/system32
=====================================
a.exe（DrWeb 报为 Tool.DialupPass.243）
dllwm.dll（Kaspersky 报为 Trojan-PSW.Win32.Lineage.acw，DrWeb 报为 Trojan.PWS.Lineage）
dllz.dll（Kaspersky 报为 Trojan-PSW.Win32.Lineage.aih）
Hacker.com.cn.exe（Kaspersky 报为 Backdoor.Win32.Hupigon.cgw，DrWeb 报为 BackDoor.Pigeon.36）
msdll.dll（Kaspersky 报为 Trojan-PSW.Win32.Lineage.agl，DrWeb 报为 Trojan.PWS.Lineage）
nt.exe（Kaspersky 报为 Trojan-Downloader.Win32.Small.dgc）
nt.dll（Kaspersky 报为 Trojan-Downloader.Win32.Agent.apt）
svhost32.exe（DrWeb 报为 Trojan.PWS.Lineage）
Upzgy.exe

打包备份后删除。

关闭所有文件夹窗口，用HijackThis扫描并修复上面所列项目。

卸载：雅虎助手，LetsCool，Zcom

清空IE临时文件夹

清空 C:/Windows/temp 文件夹

清空 C:/Documents and Settings/user/Local Settings/temp 文件夹