遭遇my123.com劫持浏览器和yok

endurer 原创

2006-11-28 第1版

一位网友的电脑，最近江民杀毒软件总示发现yok*.*感染病毒，开机时会提示找不到文件，让偶帮忙检查。

打开IE，发现首页被设置为 hxxp://www.my123.com，到瑞星网站下载my123.com专杀工具，到 http://endurer.ys168.com 下载 HijackThis, ProcView。

用瑞星my123.com专杀工具扫描，没有发现可疑文件……汗！

江民KV好像没有历史记录导出功能，汗！

用 HijackThis 扫描 log，发现如下可疑项：
/-------
Logfile of HijackThis v1.99.1
Scan saved at 13:27:08, on 2006-11-28
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O2 - BHO: 珊瑚虫超级搜索 - {75FE2B5A-D3A4-4EFA-AC11-ADC9C9459688} - C:/PROGRA~1/yok/toolbar.dll

O4 - HKLM/../Run: [yok.exe] C:/WINDOWS/system32/rundll32.exe C:/PROGRA~1/yok/yok.dll,Rundll32

O4 - HKLM/../Run: [dvhzso26] C:/WINDOWS/system32/rundll32.exe C:/WINDOWS/system32/dvhzso26.dll,DllCanUnloadNow

O8 - Extra context menu item: 珊瑚虫超级搜索 - C:/PROGRA~1/yok/yoksch.htm
-------/

用 HijackThis 生成启动项列表，发现如下可疑服务：
/-------
StartupList report, 2006-11-28, 下午 02:02:12
StartupList version: 1.52.2
==================================================
Enumerating Windows NT/2000/XP services

dvhzso26: System32/DRIVERS/dvhzso26.sys (system)

lybvrlcy: System32/DRIVERS/lybvrlcy.sys (system)

ngaacn74: system32/drivers/ngaacn74.sys (system)

TYKeeper: system32/drivers/TYKeeper.sys (system)

vhehnzrh: System32/DRIVERS/vhehnzrh.sys (system)

Windows 套接字 2 .0 Non-IFS 服务提供程序支持环境: /SystemRoot/System32/drivers/ws2ifsl.sys (disabled)
-------/

用WinRAR找到 C:/WINDOWS/system32/dvhzso26.dll，压缩时提示正在使用，接着江民KV2006实时监控提示dvhzso26.dll感染了rootkit.startpage。
把江民KV2006实时监控关闭后，还是不能打包。

用 ProcView 导出系统进程列表，发现dvhzso26.dll注入到Explorer.EXE进程中。
/-------
Windows XP (5.1.2600 Service Pack 2)
2006-11-28 13:40:51进程列表
C:/WINDOWS/Explorer.EXE
   C:/WINDOWS/system32/dvhzso26.dll
-------/

用 HijackThis 修复上面列出的可疑项，发现修复不成功。
用注册表编辑器把在 HijackThis 的启动项列表中发现的可疑服务的启动类型（start）改为5（禁用）。

清空IE临时文件夹和系统临时文件夹

让网友重启电脑到安全模式下把C:/WINDOWS/system32/dvhzso26.dll打包后删除，
删除C:/PROGRA~1/yok。

过了一会，网友说C:/WINDOWS/system32/dvhzso26.dll删除不了，只删除了C:/PROGRA~1/yok。

再用 HijackThis 扫描 log，生成启动项列表，发现可疑的项目和服务还在。

system类型的系统服务就是牛。

到 http://purpleendurer.ys168.com 下载 bat_do。

把
/----------
C:/WINDOWS/system32/dvhzso26.dll
C:/WINDOWS/System32/DRIVERS/dvhzso26.sys
C:/WINDOWS/System32/lybvrlcy.dll
C:/WINDOWS/System32/DRIVERS/lybvrlcy.sys
C:/WINDOWS/system32/ngaacn74.dll
C:/WINDOWS/system32/drivers/ngaacn74.sys
C:/WINDOWS/system32/TYKeeper.dll
C:/WINDOWS/system32/drivers/TYKeeper.sys
C:/WINDOWS/System32/vhehnzrh.dll
C:/WINDOWS/System32/DRIVERS/vhehnzrh.sys
----------/
加入待处理文件列表，bat_do提示文件不存在或者是文件夹时，仍然添加。
点击“全部选中”按钮。
在“设置属性”、“改名”和“删除”前打上钩。
点击“生成命令”按钮。
点击“重启时执行”按钮。

江民KV2006实时监控提示bat_do修改删除表，允许。

对于system类型的系统服务，还是用autoexec.bat来删除相应的文件比较保险。

打开记事本，把生成的复制、粘贴到记事本中，保存为c:/autoexec.bat。

系统提示c:/autexec.bat只读。

在bat_do窗口的“文件/命令框”中输入命令：attrib c:/autoexec.bat -h -r -s
点击“执行命令”按钮。

再在记事本中保存为c:/autoexec.bat，OK！

让网友重启电脑。

网友重启电脑后说，开机时系统提示rundll出错。

让他用msconfig.exe把包含rundll32的启动项取消。

dvhzso26.dll  Kaspersky 报为 Trojan-Downloader.Win32.Agent.bbc。