遭遇Trojan-Spy.Win32.Delf.uv,Trojan.PSW.Win32.XYOnline,Trojan.PSW.Win32.ZhengTu等1

最新推荐文章于 2024-07-25 00:02:39 发布
最新推荐文章于 2024-07-25 00:02:39 发布
阅读量2.1k 收藏
点赞数
分类专栏： 系统维护 文章标签： microsoft c system windows internet winform
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Purpleendurer/article/details/1743392
版权

遭遇Trojan-Spy.Win32.Delf.uv,Trojan.PSW.Win32.XYOnline,Trojan.PSW.Win32.ZhengTu等1

endurer 原创

2007-08-14 第1版

昨晚一位网友说他的电脑中了病毒，金山毒霸不停的提示发现病毒WinForm2.dll，使用一段时间后会弹出倒计时关机对话框，让偶通过QQ远程协助。

让网友重启到带网络连接的安全模式，刚连上就出现了倒计时关机对话框，用shutdown -a命令停止了。

下载 pe_xscan 扫描 log 并分析，发现如下可疑项：

/===
pe_xscan 07-07-24 by Purple Endurer
2007-8-13 21:49:9
Windows XP Service Pack 2(5.1.2600)
管理员用户组
[System Process] * 0
    C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys | 2007-8-13 15:31:54
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
C:/WINDOWS/system32/winlogon.exe * 452 | 2005-5-2 4:30:0 | Microsoft(R) Windows(R) Operating System | 5.1.2600.2180 | Windows NT Logon Application | (C) Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | winlogon | WINLOGON.EXE
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
C:/WINDOWS/system32/lsass.exe * 512 | 2005-5-2 4:30:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | LSA Shell (Export Version) | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | lsass.exe | lsass.exe
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
C:/WINDOWS/system32/svchost.exe * 660 | 2005-5-2 4:30:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Generic Host Process for Win32 Services | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | svchost.exe | svchost.exe
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
C:/WINDOWS/Explorer.EXE * 1456 | 2005-5-2 4:30:0 | Microsoft(R) Windows(R) Operating System | 6.00.2900.2180 | Windows Explorer | (C) Microsoft Corporation. All rights reserved. | 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | explorer | EXPLORER.EXE
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
    C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys | 2007-8-13 15:31:54
C:/KAV2007/KAV32.EXE * 1968 | 2001-8-3 9:18:3 | Kingsoft Internet Security | 7, 6, 0, 19 | Kingsoft AntiVirus | Copyright (C) 2000 - 2007 Kingsoft Corporation. All rights reserved. | 2007, 7, 23, 229 | Kingsoft Corporation | Kingsoft | KAV32 | KAV32.EXE
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
    C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys | 2007-8-13 15:31:54
C:/WINDOWS/system32/conime.exe * 812 | 2005-5-2 4:30:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Console IME | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | Console | CONIME.EXE
    C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys | 2007-8-13 15:31:54
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
C:/WINDOWS/system32/xyhins.exe * 980 | 2007-8-11 22:48:14
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
C:/WINDOWS/system32/jzgins.exe * 1092 | 2007-8-11 15:12:30
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
C:/WINDOWS/system32/qhcins.exe * 504 | 2007-8-11 22:24:24
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
C:/WINDOWS/system32/ztmins.exe * 1320 | 2007-8-12 15:22:34
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
C:/WINDOWS/system32/qjeins.exe * 1372 | 2007-8-12 19:47:24
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
C:/WINDOWS/system32/zxgins.exe * 920 | 2007-8-12 20:6:8
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
C:/WINDOWS/system32/jhains.exe * 1528 | 2007-8-12 20:3:30
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
C:/WINDOWS/system32/ctfmon.exe * 164 | 2005-5-2 4:30:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | CTF Loader | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | CTFMON | CTFMON.EXE
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50
    C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys | 2007-8-13 15:31:54
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
C:/Program Files/Internet Explorer/iexplore.exe * 1536 | 2005-5-2 4:30:0 | Microsoft(R) Windows(R) Operating System | 6.00.2900.2180 | Internet Explorer | (C) Microsoft Corporation. All rights reserved. | 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | iexplore | IEXPLORE.EXE
    C:/WINDOWS/system32/zxgpri.dll | 2004-8-4 15:31:54
    C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys | 2007-8-13 15:31:54
    C:/WINDOWS/system32/jhapri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qjepri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/ztmpri.dll | 2004-8-4 15:31:54
    C:/WINDOWS/system32/qhcpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/jzgpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/xyhpri.dll | 2004-8-4 15:31:53
    C:/WINDOWS/system32/WinForm2.dll | 2004-8-4 17:2:50

F2 - REG: system.ini: UserInit=C:/WINDOWS/system32/Userinit.exe

O4 - HKCU/../Run: [blin] "C:/Documents and Settings/h/blin/blin.exe" -background 1
C:/autorun.inf
/-----
[autorun]
open=auto.exe
shell/open=打开(&O)
shell/open/Command=auto.exe
hell/explore=资源管理器(&X)
shell/explore/Command="auto.exe"
-----/
D:/autorun.inf
/-----
[autorun]
open=auto.exe
shell/open=打开(&O)
shell/open/Command=auto.exe
hell/explore=资源管理器(&X)
shell/explore/Command="auto.exe"
-----/
E:/autorun.inf
/-----
[autorun]
open=auto.exe
shell/open=打开(&O)
shell/open/Command=auto.exe
hell/explore=资源管理器(&X)
shell/explore/Command="auto.exe"
-----/
F:/autorun.inf
/-----
[autorun]
open=auto.exe
shell/open=打开(&O)
shell/open/Command=auto.exe
hell/explore=资源管理器(&X)
shell/explore/Command="auto.exe"
-----/

O23 - 服务: 46427F5F (46427F5F) - C:/WINDOWS/system32/61611F9E.EXE -46427F5F(自动)
O23 - 服务: BB7005AC (BB7005AC) - C:/WINDOWS/system32/1CC3706C.EXE -k(自动)
O23 - 服务: dmmuykip (dmmuykip) - System32/DRIVERS/dmmuykip.sys| ? | 1.6.9.1084| ?| ? | 1.8.0.1096 | Yahoo! China Corporation| ?| ?| ?(引导)
O23 - 服务: NPF (Netgroup Packet Filter) - system32/drivers/npf.sys | WinPcap Netgroup Packet Filter Driver | 3, 1, 0, 27 | npf | Copyright ? 2005 CACE Technologies. Copyright ? 2003-2005 NetGroup, Politecnico di Torino. | 3, 1, 0, 27 | CACE Technologies |  | NPF + TME  | npf.sys(手动)

O24 - ShlExecHook: [] - {40117B96-998D-4D80-8F89-5E9DBD9F3460} = C:/Program Files/Internet Explorer/PLUGINS/WinSys64.Sys
O24 - ShlExecHook: [8] - {813AF41A-21B1-131B-1BFC-D2A90DF4A2B8} = C:/WINDOWS/system32/WinForm2.dll
O24 - ShlExecHook: [WindowsVista] - {3495D328-661A-4FB0-BA67-8ACDD1704D1E} = C:/WINDOWS/system32/temp[3].dll
O24 - ShlExecHook: [9] - {913AF41A-21B1-131B-1BFC-D2A90DF4A2B9} = C:/WINDOWS/system32/xyhpri.dll
O24 - ShlExecHook: [7] - {759AFD5B-159F-ACD8-954C-ACD545FA6587} = C:/WINDOWS/system32/jzgpri.dll
O24 - ShlExecHook: [3] - {36368135-64FA-BC34-DA32-DCF4FD431C93} = C:/WINDOWS/system32/qhcpri.dll
O24 - ShlExecHook: [D] - {D1351752-5628-1547-FFAB-BADC13512AFD} = C:/WINDOWS/system32/ztmpri.dll
O24 - ShlExecHook: [5] - {54123FF1-8371-9834-9021-184518451FA5} = C:/WINDOWS/system32/qjepri.dll
O24 - ShlExecHook: [7] - {7A65498A-7653-9801-1647-987114AB7F47} = C:/WINDOWS/system32/zxgpri.dll
O24 - ShlExecHook: [2] - {252D2432-37A2-324F-2A54-21BF5CF2F1A2} = C:/WINDOWS/system32/jhapri.dll

HKLM/SHOWALL    值非1
===/

恶意程序使用了Shell Execute Hook（O24），所以在安全模式下仍然启动了……
用WinRAR检查C、D、E，F盘，没有发现 auto.exe，检查金山毒霸的隔离区，发现是被隔离了，不过毒霸没有删除autorun.inf，换成瑞星是会自动删除autorun.inf的，只能手动删除了。
接下来的处理，留待下回分解…… 

紫郢剑侠
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
线性代数的几何意义（一）——线性代数的意义
caobiao2019的博客
03-06 4723
线性代数的几何意义（一）——“线性”、“代数”的意义 何为“代数” “代数”一词的英文是Algebra，源于阿拉伯语，其本意是“结合在一起”。就是说代数的功能就是把许多看似不相关的事物“结合在一起”，也就是进行抽象。抽象的目的不是故弄玄虚，而是为了更好的解决问题，提高效率，把许多看似不相关的问题归为一类问题。 1.从代数式说起 在我们的求学生涯中，最早出现的代数式是在初中阶段，依稀记得什么系数、常数项、单项式、多项式等名词，其定义为：由数和表示数的字母经有限次加、减、乘、除、乘方和开方等代数运算所得的式子，
Trojan-Spy.Win32.Pophot.afw 木马类
落 忆 无 痕
03-17 2106
一会要去瑞星和360SAFE反应个，咋就查不出来呢...... 病毒标签：   病毒名称： Trojan-Spy.Win32.Pophot.afw 病毒类型： 木马类 文件 MD5： 45B47482907438DFBF48E3F570B5AC4C 公开范围： 完全公开 危害等级： 4 文件长度： 94,776 字节 感染系统： Windows98以上版本 开
再遇soundmix.dll，小试pe_xscan
Purpleendurer@CSDN
12-21 1752
endurer 原创2006-12-21 第1版今天上午，有位网友说他的电脑查杀病毒后开机时弹出提示框，说找不到文件 soundmix.dll，让偶帮忙处理。这个东东以前遇到过，见使用了 rootkit 技术的 soundmix.dllhttp://endurer.bokee.com/5790021.htmlhttp://blog.csdn.net/purpleendurer/ar
遭遇Trojan-Spy Win32 Delf uv Trojan PSW Win32 XYOnline Trojan
gdfyug的博客
02-18 694
遭遇Trojan-Spy Win32 Delf uv Trojan PSW Win32 XYOnline Trojan
遭遇Trojan-Spy.Win32.Delf.uv,Trojan.PSW.Win32.XYOnline,Trojan.PSW.Win32.ZhengTu等2
Purpleendurer@CSDN
08-15 6160
遭遇Trojan-Spy.Win32.Delf.uv,Trojan.PSW.Win32.XYOnline,Trojan.PSW.Win32.ZhengTu等2endurer 原创2007-08-14 第1版（继1）禁用系统还原功能。打开任务管理器，终止以下进程：xyhins.exe、jzgins.exe、qhcins.exe、ztmins.exe、qjeins.exe、zx
病毒HEUR:Trojan-Downloader.Win32.Generic
Gin工作室
08-06 4037
这个病毒一般是浏览网页留下的，病毒多在四个地方： C:/Documents and Settings/Administrator/Cookies C:/Documents and Settings/Administrator/Local Settings/Temporary Internet Files   C:/Documents and Settings/Default User/Co
Trojan.Win32.Scar.cjdy分析
chasdmeng的专栏
09-29 3402
前记:         这是很早之前分析的一个windows上的病毒程序，程序很有代表性，我当时分析的也很细致。最近在整理文档时发现了它，感觉还是有分享的价值的。 一、病毒标签： 病毒名称：Trojan.Win32.Scar.cjdy 病毒类型：下载类、感染型程序 文件 MD5：2EFC5A7D29B43AD8B0C02047AF7B4ED5 公开范围：完全公开 危害等级：3
遭遇木马Trojan-PWS.Win32.Agent.BU（续篇）
weixin_33736649的博客
11-12 766
一直以为那个木马Trojan-PWS.Win32.Agent.BU是同事的U盘上带过来的，直到后来在安装/卸载一个软件时无意中发现不是的（呵呵~真不好意思，错怪她了），事情还是从公司领导决定用禁U软件说起，通过第三方软件把在公司上下除了必要的几台电脑外一律禁用U盘，一方面是考虑到U盘是传播木马的最大根源，另一方面也防止信息从计算机USB端口泄漏出去，...
遭遇Trojan-PSW.Win32.WOW.ms、Trojan-PSW.Win32.Lmir.bgb等木马
Purpleendurer@CSDN
12-10 2367
endurer 原创2006-12-10 第1版一位网友的电脑最近工作比较慢，让偶帮忙检修看看。到 http://endurer.ys168.com 下载 HijackThis 和 ProcView。先用 HijackThis 扫描 log，发现以下可疑项： /-------Logfile of HijackThis v1.99.1Platform: Windows XP SP2 (W
trojan-1.16.0-win.zip
04-01
trojan
2020年trojan最新windows64客户端trojan-1.15.1-win.zip
04-14
2020年trojan最新windows64客户端
Trojan-Qt5-Windows.zip
03-14
V0.0.4c The Emergency Bug Fix for V0.0.4b V0.0.4b的紧急Bug修复 @TheWanderingCoel TheWanderingCoel released this 3 hours ago This is a version only contain these bug fixes: [Bug Fix] Fix Safari ...
trojan-qt5.app.zip
04-06
标题 "trojan-qt5.app.zip" 暗示我们正在处理一个可能包含恶意软件的压缩文件，其中的“trojan”一词通常用于指代特洛伊木马病毒。特洛伊木马是一种伪装成合法软件的恶意程序，用户在不知情的情况下下载并执行时，它...
微软Edge浏览器全解析
最新发布
数字人生
07-25 1457
微软Edge浏览器经历了一个重大的转变，从一个基于自家技术的浏览器发展成为一个基于Chromium的现代浏览器。这一改变极大地提升了Edge的性能、兼容性和用户基数，使其成为了市场上一个强有力的竞争者。如果你对具体的某个方面感兴趣或者需要更详细的信息，请告诉我，我可以进一步为你提供帮助。微软Edge浏览器凭借其高性能、良好的兼容性和丰富的功能，已经成为一款值得推荐的现代浏览器。通过合理利用其强大的扩展支持、隐私保护、微软服务集成以及内置的阅读器和PDF工具，用户可以大幅提升浏览体验1。
K8s 很难么？带你从头到尾捋一遍，不信你学不会
民工哥的博客
02-23 8842
点击关注公众号，回复“1024”获取2TB学习资源！为什么要学习 Kubernetes?虽然 Docker 已经很强大了，但是在实际使用上还是有诸多不便，比如集群管理、资源调度、文件管理等...
10天智能锁项目实战第1天（了解单片机STM32F401RET6和C语言基础）
北豼不太皮的博客
02-21 3306
10天智能锁项目实战第1天（了解单片机STM32F401RET6和C语言基础）一、学习目标二、了解单片机STM32F401RET6三、C语言基础 一、学习目标 二、了解单片机STM32F401RET6 4、STM32F401RE特征 三、C语言基础 1.数据类型 常用2的次方： 2^7 = 128 2^8 = 256 2^15 = 32768 2^16= 65536 51单片机常见的数据类型： char: 占内存1字节 取值范围：-128~127 -2^7 ~ 2
Android开发（1） | Fragment 的应用——新闻应用
Jormungand_V的博客
02-21 6403
文章目录 news_item.xml： <TextView xmlns:android="http://schemas.android.com/apk/res/android" android:id="@+id/news_title" android:layout_width="match_parent" android:layout_height="wrap_content" android:lines="1" android:ellipsize="
系统学习 TypeScript（四）——变量声明的初步学习
编程三昧
02-25 1554
认识了 TypeScript 中的基础类型，接下来当然是变量声明的相关学习了，我在这里记录一下我学习过程中的一些总结。
Trojan-Downloader.Win32.Agent.bbb 木马手动查杀
06-09
首先，关闭所有正在运行的程序，然后按照以下步骤手动查杀Trojan-Downloader.Win32.Agent.bbb木马： 1. 打开任务管理器，结束所有Trojan-Downloader.Win32.Agent.bbb木马相关进程。 2. 删除Trojan-Downloader.Win...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

紫郢剑侠

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值