遭遇auto.exe,Hack.ArpCheater.a(ARP欺骗工具),Trojan.PSW.ZhengTu等2

遭遇auto.exe,Hack.ArpCheater.a(ARP欺骗工具),Trojan.PSW.ZhengTu等2

endurer 原创
2007-07-24 第1版

很奇怪，今天中午在一位网友的电脑遇到与此相似的东东，pe_xscan 的 log 中的 O2、O4、O23、O24都相似，各盘下也有auto.exe，但多了一个：O20 - AppInit_DLLs: mybpri.dll，修复起来比这个要困难……

还是先说一下昨天这个的处理过程罢：

关闭系统还原功能

停止并禁用服务：WindowsDown (Windows_SystemDown)

用任务管理器终止进程树：C:/Program Files/Internet Explorer/msvcrt.bak

下载安装瑞星卡卡安全助手，选择 [高级功能]，在[进程管理]里终止进程：C:/WINDOWS/system32/drivers/smss.exe

在[插件管理及卸载] 里把 O2、O24 项卸载掉，

在 [IE及系统修复] 里修复红色显示的部分：HKLM/SHOWALL    值非1

在[系统启动项管理]里，右击 O4 和 O23 项对应的项目，从弹出的菜单里选择删除。

到 http://purpleendurer.ys168.com 下载 FreeDLL，bat_do 和 FileInfo。

用 FreeDLL 从所有进程卸载 msvcrt.dll、Relive.dll等。还好，O4组的那些没有启动，不然就有得忙了……

FileInfo提取文件信息，用 bat_do 将可疑文件打包备份，使用延迟删除，然后生成去除属性和删除命令并执行，再下次启动时执行。

用WinRAR删除 各盘下的 autorun.inf 和 auto.exe。

到控制面板的“添加删除程序”里卸载：中文搜搜、 Alexa。

到 http://endurer.ys168.com 下载 HijackThis，修复 O8、O11。

用 WinRAR 删除 Windows临时文件夹，IE临时文件夹，d:/windows/prefetch 中可以删除的文件。

重启电脑，再用瑞星卡卡安全助手检查[高级功能]->[插件管理及卸载]，如果还残留O24中的项目，再卸载一次。

文件说明符 : C:/WINDOWS/System32/smss.exe
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2007-7-18 19:57:27
修改时间 : 2007-7-18 19:57:56
访问时间 : 2007-7-23 0:0:0
大小 : 103403 字节 100.1003 KB
MD5 : c31c8d307884ab5c3e7e7a10fa72d2e6

Kaspersky 报为 HackTool.Win32.Agent.be，瑞星 报为 Hack.ArpCheater.a(ARP欺骗工具)

文件说明符 : C:/WINDOWS/system32/visin.exe
属性 : ----
语言 : 中文(中国)
文件版本 : 5.1.2600.0
说明 : Microsoft Wisin Control
版权 : Microsoft Corporation. All rights reserved.
备注 :
产品版本 : 5.1.2600.0
产品名称 : Microsoft(R) Windows(R) Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : wisin
源文件名 : Wisin.exe
创建时间 : 2007-7-18 22:37:51
修改时间 : 2005-3-3 2:10:6
访问时间 : 2007-7-23 0:0:0
大小 : 25639 字节 25.39 KB
MD5 : 3c02316b557dcb8dda8f6fe65040e748

Kaspersky 报为 Trojan-Downloader.Win32.Small.exc，瑞星 报为 Trojan.PSW.Win32.Agent.qi

文件说明符 : C:/WINDOWS/system32/servet.exe
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2007-7-22 16:22:5
修改时间 : 2007-7-22 16:23:22
访问时间 : 2007-7-23 0:0:0
大小 : 16613 字节 16.229 KB
MD5 : e42e9b5ccb602214271c1fb924a00ecc

Kaspersky 报为 Virus.Win32.AutoRun.au，瑞星 报为 Trojan.DL.Mnless.akb

文件说明符 : D:/auto.exe
属性 : A---
语言 : 英语(美国)
文件版本 :  1. 0. 0. 0
说明 : Microsoft drivers                                                           
版权 :
备注 :
产品版本 : 0.0.0.0
产品名称 :
公司名称 : Microsoft                
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 15:19:39
修改时间 : 2007-5-29 11:20:52
访问时间 : 2007-7-22 0:0:0
大小 : 150814 字节 147.286 KB
MD5 : a104e1fd11617c0f225a30d49861c478

图标是白描的猫或鼠。

文件说明符 : c:/windows/system32/2.jpg
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 15:19:32
修改时间 : 2007-7-22 16:23:30
访问时间 : 2007-7-22 0:0:0
大小 : 473257 字节 462.169 KB
MD5 : a782f4f92fbfc57703872f1562e0ec34
释放：
drivers/auto.txt
drivers/csrss.exe
drivers/drivers.exe
drivers/npf.sys
drivers/smss.exe
Packet.dll
WanPacket.dll
wpcap.dll

C:/WINDOWS/system32/drivers/csrss.exe 与 auto.exe 相同。

文件说明符 : C:/WINDOWS/system32/drivers/auto.txt
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 15:19:38
修改时间 : 2007-7-18 20:26:36
访问时间 : 2007-7-22 0:0:0
大小 : 137 字节
MD5 : 895cd66a288ec2b170af35a18800411e
内容与autorun.inf相同：
/---
[autorun]
open=auto.exe
shell/open=打开(&O)
shell/open/Command=auto.exe
hell/explore=资源管理器(&X)
shell/explore/Command="auto.exe"
---/

文件说明符 : C:/WINDOWS/system32/nwizzhuxians.exe
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2007-7-18 8:12:40
修改时间 : 2007-6-18 8:13:0
访问时间 : 2007-7-23 0:0:0
大小 : 46895 字节 45.815 KB
MD5 : dda372cd5e1c47b8cb4fe18d8e76af79

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.fq，瑞星 报为 Packer.Mian007

文件说明符 : C:/WINDOWS/system32/drivers/drivers.exe
属性 : A---
语言 : 英语(美国)
文件版本 :  1. 0. 0. 0
说明 : Microsoft drivers                                                           
版权 :
备注 :
产品版本 : 0.0.0.0
产品名称 :
公司名称 : Microsoft
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 15:19:39
修改时间 : 2007-5-29 11:20:52
访问时间 : 2007-7-22 0:0:0
大小 : 150814 字节 147.286 KB
MD5 : a104e1fd11617c0f225a30d49861c478

瑞星 报为 Trojan.DL.Win32.Agent.wys

文件说明符 : C:/Documents and Settings/user/Local Settings/Temp/woso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-10 9:18:32
修改时间 : 2007-7-19 17:56:12
访问时间 : 2007-7-22 0:0:0
大小 : 9500 字节 9.284 KB
MD5 : cfa2db081308b1dcb345635c8b51b038

文件说明符 : C:/Documents and Settings/user/Local Settings/Temp/ztso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-8 5:26:37
修改时间 : 2007-7-19 17:56:12
访问时间 : 2007-7-22 0:0:0
大小 : 8832 字节 8.640 KB
MD5 : 91d3add55a71de8487f72c8bca7f0a30

Kaspersky 报为 Trojan-PSW.Win32.Small.cf，瑞星 报为 Trojan.PSW.ZhengTu.jzd

文件说明符 : D:/pe/tools/virus/daso.exe
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2007-7-19 17:55:5
修改时间 : 2007-7-19 17:56:28
访问时间 : 2007-7-23 0:0:0
大小 : 7952 字节 7.784 KB
MD5 : 50c231feac49deaa417ea4e542bbd2b0

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.nw，瑞星 报为 Trojan.PSW.Win32.XYOnline.as

文件说明符 : C:/Documents and Settings/user/Local Settings/Temp/daso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-19 17:55:5
修改时间 : 2007-7-22 16:17:44
访问时间 : 2007-7-22 0:0:0
大小 : 7168 字节 7.0 KB
MD5 : 3e3729eb7afc9055a3d398452c98ffd8

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.nw，瑞星 报为 Trojan.PSW.Win32.XYOnline.aq

C:/Documents and Settings/user/Local Settings/Temp/daso1.dll 同 daso0.dll

文件说明符 : C:/Documents and Settings/user/Local Settings/Temp/fyso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 15:18:15
修改时间 : 2007-7-22 16:17:40
访问时间 : 2007-7-22 0:0:0
大小 : 11264 字节 11.0 KB
MD5 : 20d1484e9bdb1612589b8e2ca0e89b58

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.abi，瑞星 报为 Trojan.PSW.OnlineGames.bhw

C:/Documents and Settings/user/Local Settings/Temp/fyso1.dll 同 fyso0.dll

文件说明符 : C:/Documents and Settings/user/Local Settings/Temp/woso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 15:18:14
修改时间 : 2007-7-22 16:17:40
访问时间 : 2007-7-22 0:0:0
大小 : 12800 字节 12.512 KB
MD5 : 9f66799e7112a1bc57b6db8a60498837

Kaspersky 报为 Trojan-PSW.Win32.Small.cf，瑞星 报为 Trojan.PSW.Win32.WoWar.sl

C:/Documents and Settings/user/Local Settings/Temp/woso1.dll 同 woso0.dll

文件说明符 : C:/Documents and Settings/user/Local Settings/Temp/ztso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 15:18:14
修改时间 : 2007-7-22 16:17:40
访问时间 : 2007-7-22 0:0:0
大小 : 10240 字节 10.0 KB
MD5 : 5ccb031fdad424c9e39c3e45ee048ddc

Kaspersky 报为 Trojan-PSW.Win32.Nilage.bjp，瑞星 报为 Trojan.PSW.Win32.OnlineGames.dfh

C:/Documents and Settings/user/Local Settings/Temp/ztso1.dll 同 ztso0.dll

文件说明符 : C:/Program Files/Internet Explorer/msvcrt.bak
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2007-7-19 15:26:34
修改时间 : 2007-7-19 15:27:26
访问时间 : 2007-7-23 0:0:0
大小 : 23087 字节 22.559 KB
MD5 : 39cedb7e898215555e0dc800932dac71

Kaspersky 报为 Virus.Win32.AutoRun.bk，瑞星 报为 Worm.Win32.Delf.ysw

文件说明符 : C:/Program Files/Internet Explorer/HiJack.bak
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2007-5-14 9:55:18
修改时间 : 2007-5-14 9:55:20
访问时间 : 2007-7-22 0:0:0
大小 : 22069 字节 21.565 KB
MD5 : 3c184e788ed31c18931b0e05ddf4241f

文件说明符 : C:/Program Files/Internet Explorer/HiJack.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2006.6
备注 :
产品版本 : 5.00.1.0.1
产品名称 : Microsoft(R) Windows (R) System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : System
源文件名 : System.dll
创建时间 : 2007-5-14 9:55:18
修改时间 : 2007-5-23 2:3:54
访问时间 : 2007-7-22 0:0:0
大小 : 14389 字节 14.53 KB
MD5 : aeb8522ad07bb0a1e04ba20496b45451

文件说明符 : C:/Program Files/Internet Explorer/romdrivers.bak
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2007-5-23 2:4:56
修改时间 : 2007-6-12 9:16:48
访问时间 : 2007-7-22 0:0:0
大小 : 22066 字节 21.562 KB
MD5 : 93ddd394c7d36ccf069141ad84585f57

Kaspersky 报为 Virus.Win32.AutoRun.am，瑞星 报为 Trojan.PSW.Agent.kbg》upx_c

文件说明符 : C:/Program Files/Internet Explorer/romdrivers.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2006.6
备注 :
产品版本 : 5.00.1.0.1
产品名称 : Microsoft(R) Windows (R) System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : System
源文件名 : System.dll
创建时间 : 2007-5-23 2:4:56
修改时间 : 2007-6-17 8:21:2
访问时间 : 2007-7-22 0:0:0
大小 : 14898 字节 14.562 KB
MD5 : 5e12658d4dec4c3f9df782a23d179c5d

Kaspersky 报为 Virus.Win32.AutoRun.am，瑞星 报为 Trojan.PSW.Agent.kbg》upx_c

文件说明符 : C:/Program Files/Internet Explorer/msvcrt.ebk
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2001.01
备注 :
产品版本 : 6.00.2900.3028
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : Windows.dll 
源文件名 : Windows.dll
创建时间 : 2007-7-22 16:17:36
修改时间 : 2007-7-22 16:51:6
访问时间 : 2007-7-22 0:0:0
大小 : 14895 字节 14.559 KB
MD5 : 8ae7f8988a5bfb7b5fb4d2a648cb1c16

Kaspersky 报为 Virus.Win32.AutoRun.bk，瑞星 报为 Worm.Win32.Delf.ysw》upx_c

文件说明符 : C:/Program Files/Internet Explorer/msvcrt.dll
属性 : ----
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2001.01
备注 :
产品版本 : 6.00.2900.3028
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : Windows.dll 
源文件名 : Windows.dll
创建时间 : 2007-7-15 16:2:59
修改时间 : 2007-7-22 16:51:6
访问时间 : 2007-7-22 0:0:0
大小 : 14895 字节 14.559 KB
MD5 : 8ae7f8988a5bfb7b5fb4d2a648cb1c16

文件说明符 : C:/Program Files/Internet Explorer/PLUGINS/HiJack.bak
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2007-5-8 5:20:19
修改时间 : 2007-5-8 5:20:20
访问时间 : 2007-7-22 0:0:0
大小 : 18997 字节 18.565 KB
MD5 : 45680654f7e984aa1781fbee26603042

文件说明符 : C:/Program Files/Internet Explorer/PLUGINS/HiJack.dll
属性 : ----
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2006.6
备注 :
产品版本 : 5.00.1.0.1
产品名称 : Microsoft(R) Windows (R) System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : System
源文件名 : System.dll
创建时间 : 2007-7-22 16:56:54
修改时间 : 2007-7-22 16:59:14
访问时间 : 2007-7-23 0:0:0
大小 : 12341 字节 12.53 KB
MD5 : f3d36c0a5bac3eae2a28063cac087102

Kaspersky 报为 Trojan-Downloader.Win32.Agent.bmo，瑞星 报为 Trojan.HiJack.c