遭遇HBKernel32.sys,53u1ttMe.2ys,HBTL.dll,HBSO2.dll,bcejnmfd.dll等1

遭遇HBKernel32.sys,53u1ttMe.2ys,HBTL.dll,HBSO2.dll,bcejnmfd.dll等1

 

endurer 原创
2008-10-16 第1版

 

昨天，一位同事说他的电脑开机后桌面一片空白，任务栏和桌面图标都未显示。请偶帮忙检修。

在同事的电脑上打开任务管理器检查，没有发现可疑的进程，而且explorer.exe已经运行了。

先把explorer.exe进程终止掉，然后再运行explorer.exe，不料任务管理器假死。尝试运行cmd.exe，WinRAR.exe，也是如此。

只好重启电脑到安全模式，打算用msconfig.exe检查开机启动项，不料根本找不到msconfig.exe。只要直接运行注册表编辑器regedit.exe来检查。

很快就发现了：

O4 - HKLM/../Run: [HBService32]  System.exe

确认是中标了，把值改为：;System.exe

记得这个东东还有一个服务项，找到并将启动方式改为4（禁用）：

 

O23 - 服务: HBKernel32 (HBKernel32 Driver) -  system32/drivers/HBKernel32.sys | 2008-10-13 5:12:50(禁用)

重启电脑，这次桌面显示正常了。

下载 pe_xscan 扫描 log 并分析，发现如下可疑项（进程模块部分有省略）：

 

pe_xscan 08-08-01 by Purple Endurer 
2008-10-15 16:6:41 
Windows XP Service Pack 3(5.1.2600) 
MSIE:7.0.5730.11 
管理员用户组 
正常模式

[System Process] * 0 
　　 C:/WINDOWS/system32/HBTL.dll | 2008-10-13 5:14:38 
　　 C:/Program Files/Internet Explorer/53u1ttMe.2ys | 2008-10-13 5:22:48 
　　 C:/WINDOWS/system32/ozmazluz.dll | 2008-10-13 5:18:21 
　　 C:/WINDOWS/system32/bcejnmfd.dll | 2008-10-13 5:18:1 
　　 C:/WINDOWS/system32/uhtcnwqw.dll | 2008-10-13 5:17:19 
　　 C:/WINDOWS/system32/tpphbrik.dll | 2008-10-13 5:15:59 
　　 C:/WINDOWS/system32/flirxttw.dll | 2008-10-13 5:15:39 
C:/WINDOWS/system32/winlogon.exe* 956 | 2004-8-17 4:0:0 
　　 C:/WINDOWS/system32/HBSO2.dll | 2008-10-13 5:13:56 
　　 C:/WINDOWS/system32/HBTL.dll | 2008-10-13 5:14:38 
C:/WINDOWS/system32/services.exe* 1004 | 2004-8-17 4:0:0 
　　 C:/WINDOWS/system32/HBSO2.dll | 2008-10-13 5:13:56 
　　 C:/WINDOWS/system32/HBTL.dll | 2008-10-13 5:14:38 
C:/WINDOWS/system32/lsass.exe* 1016 | 2004-8-17 4:0:0 
　　 C:/WINDOWS/system32/HBSO2.dll | 2008-10-13 5:13:56 
　　 C:/WINDOWS/system32/HBTL.dll | 2008-10-13 5:14:38 
O2 - BHO - {F6A454AE-156A-415E-9F89-3795677A8A91} = C:/Program Files/Internet Explorer/53u1ttMe.2ys | 2008-10-13 5:22:48 
O4 - HKLM/../Run: [HBService32]  ;System.exe
O4 - HKLM/../Policies/Explorer/Run: [nwiz]  aliware.exe
O20 - AppInit_DLLs =  HBmhly.dll ,HBSO2.dll,HBSOUL.dll,HBDNF.dll,HBWOW.dll,HBTL.dll 
O21 - SSODL - flirxttw.dll(0) - {F0930A2F-D971-4828-8209-B7DFD266ED44} = C:/WINDOWS/system32/flirxttw.dll | 2008-10-13 5:15:39 
O21 - SSODL - tpphbrik.dll(B) - {A2C3BA54-DF75-4881-8EB3-E54B26BBBBC9} = C:/WINDOWS/system32/tpphbrik.dll | 2008-10-13 5:15:59 
O21 - SSODL - uhtcnwqw.dll(3) - {DA56B183-A731-402b-9235-2CB8803E212D} = C:/WINDOWS/system32/uhtcnwqw.dll | 2008-10-13 5:17:19 
O21 - SSODL - bcejnmfd.dll(1) - {2CB77746-8ECC-40ca-8217-10CA8BE5EFC8} = C:/WINDOWS/system32/bcejnmfd.dll | 2008-10-13 5:18:1 
O21 - SSODL - ozmazluz.dll(B) - {65056902-6E7B-4bd7-95BA-688DB5FA5BEB} = C:/WINDOWS/system32/ozmazluz.dll | 2008-10-13 5:18:21 
O23 - 服务: aliimz () -  System32/Drivers/aliimz.sys (手动) 
O23 - 服务: Beep (Beep) - C:/WINDOWS/system32/Drivers/Beep.sys | 2008-10-13 13:12:45(禁用) 
O23 - 服务: HBKernel32 (HBKernel32 Driver) -  system32/drivers/HBKernel32.sys | 2008-10-13 5:12:50(禁用) 
O23 - 服务: IIS Manager (IIS Manager ) - C:/DOCUME~1/new/LOCALS~1/Temp/1.tmp (手动) 
O23 - 服务: SZNB (SZNB) - C:/06574FFE/06575006 (手动)
O24 - ShlExecHook: [4] - {F0930A2F-D971-4828-8209-B7DFD266ED44} = C:/WINDOWS/system32/flirxttw.dll | 2008-10-13 5:15:39 
O24 - ShlExecHook: [9] - {A2C3BA54-DF75-4881-8EB3-E54B26BBBBC9} = C:/WINDOWS/system32/tpphbrik.dll | 2008-10-13 5:15:59 
O24 - ShlExecHook: [D] - {DA56B183-A731-402b-9235-2CB8803E212D} = C:/WINDOWS/system32/uhtcnwqw.dll | 2008-10-13 5:17:19 
O24 - ShlExecHook: [8] - {2CB77746-8ECC-40ca-8217-10CA8BE5EFC8} = C:/WINDOWS/system32/bcejnmfd.dll | 2008-10-13 5:18:1 
O24 - ShlExecHook: [B] - {65056902-6E7B-4bd7-95BA-688DB5FA5BEB} = C:/WINDOWS/system32/ozmazluz.dll | 2008-10-13 5:18:21 
O24 - ShlExecHook: [] - {F6A454AE-156A-415E-9F89-3795677A8A91} = C:/Program Files/Internet Explorer/53u1ttMe.2ys | 2008-10-13 5:22:48

 

下载 FileInfo 和 bat_do。用FileInfo提取可疑文件信息，用bat_do打包备份并延迟删除。

有些文件没有找到，怀疑是同事电脑中的趋势科技的杀软干掉了。

下载、安装、运行瑞星卡卡安全助手，清理病毒启动项。