遭遇Trojan PSW OnlineGames Trojan HiJack a Trojan PSW ZhuXian

最新推荐文章于 2024-04-15 16:03:23 发布

画面太乱了

最新推荐文章于 2024-04-15 16:03:23 发布

阅读量700

点赞数

本文链接：https://blog.csdn.net/gdfyug/article/details/87778900

版权

endurer 原创
2007-06-08 第1版

一位网友说他的电脑最近反应速度很慢，让偶通过QQ远程协助帮忙检修。

先用msconfig检查，发现了一些可疑启劝项，把金山毒霸升级到最新后扫描系统，没有发现病毒。

到 http://endurer.ys168.com 下载 HijackThis 和瑞星杀毒助手 Aide4Rav。到 http://purpleendurer.ys168.com 下载FreeDLL、FileInfo、bat_do。

下载 pe_xscan 扫描 log 并分析，发现如下可疑项：
/---
pe_xscan 07-06-04 by Purple Endurer
2007-6-7 12:12:54
Windows XP Service Pack 2(5.1.2600)
管理员用户组

O4 - HKLM/../Run: [jmekey] C:/Program Files/jmesoft/hotkey.exe
O4 - HKLM/../Run: [wosa] D:/TEMP/woso.exe
O4 - HKLM/../Run: [ztsa] D:/TEMP/ztso.exe
O4 - HKLM/../Run: [mhsa] D:/TEMP/mhso.exe
O4 - HKLM/../Run: [fysa] D:/TEMP/fyso.exe
O4 - HKLM/../Run: [jtsa] D:/TEMP/jtso.exe
O4 - HKLM/../Run: [wlsa] D:/TEMP/wlso.exe
O4 - HKLM/../Run: [wgsa] D:/TEMP/wgso.exe
O4 - HKLM/../Run: [wmsa] D:/TEMP/wmso.exe
O4 - HKLM/../Run: [qjsa] D:/TEMP/qjso.exe
O4 - HKLM/../Run: [rxsa] D:/TEMP/rxso.exe
O4 - HKLM/../Run: [wdsa] D:/TEMP/wdso.exe
O4 - HKLM/../Run: [tlsa] D:/TEMP/tlso.exe
O4 - HKLM/../Run: [dasa] D:/TEMP/daso.exe

O24 - ShlExecHook: [] - {0CD68AC9-FF63-3E61-626B-B663E62F6236} = C:/Program Files/Internet Explorer/romdrivers.dll

O25 - InsCom: {11716107-A10D-11cf-64CD-11115FE1CF41} = C:/WINDOWS/system32/nwizzhuxians.exe
---/

还有几个很少见的服务：
/---
O23 - 服务: ScbkEx (StarCenter Backup Volume Filter Driver) - scdriver/ScbkEx.sys(引导)
O23 - 服务: ScCchMgr (StarCenter Cache Manager File System Filter Driver) - scdriver/ScCchMgr.sys(引导)
O23 - 服务: SSCFLT (SSCFLT) - scdriver/SSCFLT.SYS | Windows (R) 2000 DDK driver | 5.1.2600.1106 | File System Filter Driver | | 5.1.2600.1106 built by: WinDDK | Windows (R) 2000 DDK provider| ? | kfilter.sys | kfilter.sys(引导)
O23 - 服务: SSCFS (SSCFS) - scdriver/sscfs.sys(引导)
O23 - 服务: SSFltPT () - scdriver/ssfltpt.sys(引导)
---/

用 FileInfo 提取可疑文件信息，用 bat_do 打包备份。

文件说明符 : D:/TEMP/daso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:48
修改时间 : 2007-6-5 8:52:44
访问时间 : 2007-6-7 0:0:0
大小 : 48212 字节 47.84 KB
MD5 : 480ae4853c16bdaf375d77a5e4a67923

文件说明符 : D:/TEMP/fyso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:14
修改时间 : 2007-6-5 8:51:42
访问时间 : 2007-6-7 0:0:0
大小 : 46477 字节 45.397 KB
MD5 : 721ab9919eaf7ebc4b249715467a0f6d

文件说明符 : D:/TEMP/jtso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:18
修改时间 : 2007-6-5 8:51:52
访问时间 : 2007-6-7 0:0:0
大小 : 45975 字节 44.919 KB
MD5 : 89ae2ed2635a9bf6da1a5cae1966020c

文件说明符 : D:/TEMP/mhso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:56:30
修改时间 : 2007-6-7 8:54:14
访问时间 : 2007-6-7 0:0:0
大小 : 47759 字节 46.655 KB
MD5 : aa508138db49999b44b061fcce3e1ffd

文件说明符 : D:/TEMP/qjso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:34
修改时间 : 2007-6-5 8:52:16
访问时间 : 2007-6-7 0:0:0
大小 : 47094 字节 45.1014 KB
MD5 : b9d2afbf5f833778491c8f088d672a8d

文件说明符 : D:/TEMP/rxso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:37
修改时间 : 2007-6-5 8:52:20
访问时间 : 2007-6-7 0:0:0
大小 : 47602 字节 46.498 KB
MD5 : 7cd3c78d9ea06913750f86e021f7580b

文件说明符 : D:/TEMP/svchost.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 15:2:44
修改时间 : 2007-6-5 15:2:44
访问时间 : 2007-6-7 0:0:0
大小 : 21042 字节 20.562 KB
MD5 : 61fd3508c867a3ee4a287011aa2e6806

文件说明符 : D:/TEMP/tlso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:44
修改时间 : 2007-6-5 8:52:38
访问时间 : 2007-6-7 0:0:0
大小 : 46490 字节 45.410 KB
MD5 : 2547f7a2b7c62d62aa023f8dc96ef5c5

文件说明符 : D:/TEMP/wdso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:41
修改时间 : 2007-6-5 8:52:30
访问时间 : 2007-6-7 0:0:0
大小 : 47519 字节 46.415 KB
MD5 : 5c7b3f93ada21b19dd3609d727da3c28

文件说明符 : D:/TEMP/wgso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:27
修改时间 : 2007-6-5 8:52:2
访问时间 : 2007-6-7 0:0:0
大小 : 48550 字节 47.422 KB
MD5 : a61024513459a001a7a8d8e6bc4f4c8a

文件说明符 : D:/TEMP/wlso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:24
修改时间 : 2007-6-5 8:51:58
访问时间 : 2007-6-7 0:0:0
大小 : 47072 字节 45.992 KB
MD5 : 7e3e5b0e79f25312da06b7621c6fc37f

文件说明符 : D:/TEMP/wmso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:31
修改时间 : 2007-6-5 8:52:8
访问时间 : 2007-6-7 0:0:0
大小 : 47399 字节 46.295 KB
MD5 : 3bf25a0fee7423554239673bad34e9ec

文件说明符 : D:/TEMP/ztso.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:5
修改时间 : 2007-6-7 8:54:10
访问时间 : 2007-6-7 0:0:0
大小 : 48567 字节 47.439 KB
MD5 : e6a0a92d705dc01815416501efe39bb6

文件说明符 : D:/TEMP/daso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:58:4
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 25852 字节 25.252 KB
MD5 : 81a21192e1b6de5599265a2bcfa820cf

文件说明符 : D:/TEMP/daso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:43
修改时间 : 2007-6-5 8:52:44
访问时间 : 2007-6-7 0:0:0
大小 : 25852 字节 25.252 KB
MD5 : 81a21192e1b6de5599265a2bcfa820cf

文件说明符 : D:/TEMP/fyso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:56:41
修改时间 : 2007-6-7 8:53:4
访问时间 : 2007-6-7 0:0:0
大小 : 24488 字节 23.936 KB
MD5 : 5b687d620cd82a7fe60feb1e4719e2f4

文件说明符 : D:/TEMP/fyso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:51:40
修改时间 : 2007-6-5 8:51:42
访问时间 : 2007-6-7 0:0:0
大小 : 24488 字节 23.936 KB
MD5 : 5b687d620cd82a7fe60feb1e4719e2f4

文件说明符 : D:/TEMP/jtso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:56:52
修改时间 : 2007-6-7 8:53:4
访问时间 : 2007-6-7 0:0:0
大小 : 24224 字节 23.672 KB
MD5 : 8fc80025516852e0b2c42561cc48e308

文件说明符 : D:/TEMP/jtso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:51:50
修改时间 : 2007-6-5 8:51:52
访问时间 : 2007-6-7 0:0:0
大小 : 24224 字节 23.672 KB
MD5 : 8fc80025516852e0b2c42561cc48e308

文件说明符 : D:/TEMP/mhso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 14:50:17
修改时间 : 2007-6-7 8:53:4
访问时间 : 2007-6-7 0:0:0
大小 : 25084 字节 24.508 KB
MD5 : 0d423d28cd513c606c8f95de5aaf22c3

文件说明符 : D:/TEMP/mhso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-1 8:49:9
修改时间 : 2007-6-7 8:54:14
访问时间 : 2007-6-7 0:0:0
大小 : 25992 字节 25.392 KB
MD5 : 816b0329cae3aec7edad6d11a02509e2

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.wm，瑞星报为 Trojan.PSW.OnlineGames.byp

Scanned file: wmso1.dll - Infected

wmso1.dll - infected by Trojan-PSW.Win32.OnLineGames.wm

文件说明符 : D:/TEMP/qjso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:57:27
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 24880 字节 24.304 KB
MD5 : 72aa75a5b12d6c5fada3bb6aa9df7266

文件说明符 : D:/TEMP/qjso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:14
修改时间 : 2007-6-5 8:52:16
访问时间 : 2007-6-7 0:0:0
大小 : 24880 字节 24.304 KB
MD5 : 72aa75a5b12d6c5fada3bb6aa9df7266

文件说明符 : D:/TEMP/rxso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:57:36
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 25404 字节 24.828 KB
MD5 : babdf17c5b8c3a3b27ab374eb3f0ef3e

文件说明符 : D:/TEMP/rxso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:19
修改时间 : 2007-6-5 8:52:20
访问时间 : 2007-6-7 0:0:0
大小 : 25404 字节 24.828 KB
MD5 : babdf17c5b8c3a3b27ab374eb3f0ef3e

文件说明符 : D:/TEMP/tlso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:57:56
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 24476 字节 23.924 KB
MD5 : 884d962ed4ae67ee0a001dd48286a3af

文件说明符 : D:/TEMP/tlso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:37
修改时间 : 2007-6-5 8:52:38
访问时间 : 2007-6-7 0:0:0
大小 : 24476 字节 23.924 KB
MD5 : 884d962ed4ae67ee0a001dd48286a3af

文件说明符 : D:/TEMP/wdso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:57:44
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 25796 字节 25.196 KB
MD5 : 8a4b75b5d80a87ac6815cc02597eb744

文件说明符 : D:/TEMP/wdso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:28
修改时间 : 2007-6-5 8:52:30
访问时间 : 2007-6-7 0:0:0
大小 : 25796 字节 25.196 KB
MD5 : 8a4b75b5d80a87ac6815cc02597eb744

文件说明符 : D:/TEMP/wgso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:57:11
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 26092 字节 25.492 KB
MD5 : 29c35c07138b37b0220ee29fdc611f5c

文件说明符 : D:/TEMP/wgso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:1
修改时间 : 2007-6-5 8:52:2
访问时间 : 2007-6-7 0:0:0
大小 : 26092 字节 25.492 KB
MD5 : 29c35c07138b37b0220ee29fdc611f5c

Kaspersky报为 Trojan-PSW.Win32.OnLineGames.wm，瑞星报为 Trojan.PSW.WorldOnline.hi

Scanned file: wgso1.dll - Infected

wgso1.dll - infected by Trojan-PSW.Win32.OnLineGames.wm

文件说明符 : D:/TEMP/wlso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:57:4
修改时间 : 2007-6-7 8:53:4
访问时间 : 2007-6-7 0:0:0
大小 : 25260 字节 24.684 KB
MD5 : 1e8d065df44d02ec13b7101676ea3f05

文件说明符 : D:/TEMP/wlso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:51:57
修改时间 : 2007-6-5 8:51:58
访问时间 : 2007-6-7 0:0:0
大小 : 25260 字节 24.684 KB
MD5 : 1e8d065df44d02ec13b7101676ea3f05

Kapsersky 报为 Trojan-PSW.Win32.OnLineGames.wm，瑞星报为 Trojan.PSW.OnlineGames.byp

Scanned file: wlso1.dll - Infected

wlso1.dll - infected by Trojan-PSW.Win32.OnLineGames.wm

Statistics:

Known viruses:	341287	Updated:	08-06-2007
File size (Kb):	25	Virus bodies:	1
Files:	1	Warnings:	0
Archives:	0	Suspicious:	0

文件说明符 : D:/TEMP/wmso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 15:1:41
修改时间 : 2007-6-7 8:53:6
访问时间 : 2007-6-7 0:0:0
大小 : 26312 字节 25.712 KB
MD5 : acb51f2ddcdbcba5939066a5eca01046

文件说明符 : D:/TEMP/wmso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:6
修改时间 : 2007-6-5 8:52:8
访问时间 : 2007-6-7 0:0:0
大小 : 26312 字节 25.712 KB
MD5 : acb51f2ddcdbcba5939066a5eca01046

文件说明符 : D:/TEMP/woso0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-30 16:56:12
修改时间 : 2007-6-5 15:1:42
访问时间 : 2007-6-7 0:0:0
大小 : 25396 字节 24.820 KB
MD5 : a1e35422d39f5dcb1eda8bbe272734bb

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.wm，瑞星报为 Trojan.PSW.OnlineGames.byp

Scanned file: woso0.dll - Infected

woso0.dll - infected by Trojan-PSW.Win32.OnLineGames.wm

文件说明符 : D:/TEMP/ztso1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:51:26
修改时间 : 2007-6-7 8:54:10
访问时间 : 2007-6-7 0:0:0
大小 : 26008 字节 25.408 KB
MD5 : c245fb08688ca0d6dbd894fde6d88b03

文件说明符 : C:/Program Files/Internet Explorer/romdrivers.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2006.6
备注 :
产品版本 : 5.00.1.0.1
产品名称 : Microsoft(R) Windows (R) System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : System
源文件名 : System.dll
创建时间 : 2007-5-30 16:54:49
修改时间 : 2007-6-7 8:53:4
访问时间 : 2007-6-7 0:0:0
大小 : 14386 字节 14.50 KB
MD5 : 27ada10e906d7e92ca525a98136e35bf

Kaspersky 报为 Trojan-Downloader.Win32.Agent.bmo，瑞星报为 Trojan.HiJack.a

文件说明符 : C:/WINDOWS/system32/nwizzhuxians.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:49
修改时间 : 2007-6-5 8:52:50
访问时间 : 2007-6-7 0:0:0
大小 : 46410 字节 45.330 KB
MD5 : ecab450a48dab9ce443c55e0788695ad

瑞星报为 Trojan.PSW.ZhuXian.b

文件说明符 : C:/WINDOWS/system32/nwizzhuxians.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-5 8:52:50
修改时间 : 2007-6-5 15:1:40
访问时间 : 2007-6-7 0:0:0
大小 : 25444 字节 24.868 KB
MD5 : 66a8a426a3ee111b2457c74b31391255

Kapsersky 报为 Trojan-PSW.Win32.OnLineGames.kx，瑞星报为 Trojan.PSW.ZhuXian.b

Scanned file: nwizzhuxians.dll - Infected

nwizzhuxians.dll - infected by Trojan-PSW.Win32.OnLineGames.kx

Statistics:

Known viruses:	341287	Updated:	08-06-2007
File size (Kb):	25	Virus bodies:	1
Files:	1	Warnings:	0
Archives:	0	Suspicious:	0

运行瑞星杀毒助手，使用瑞星在线免费扫描，可惜几次都是下载到一半就失败。

下载Dr.Web CureIt! 扫描，结果如下：
============================
Dr.Web(R) Scanner for Windows v4.33.2 (4.33.2.10067)
Copyright (c) Igor Daniloff, 1992-2006
Log generated on: 2007-06-07, 12:48:55 [Administrator]
============================
Engine version: 4.33 (4.33.5.10110)
Engine API version: 2.01

C:/Program Files/Common Files/Real/CNNIC/setup-real.exe is adware program Adware.Cdn
D:/TEMP/jtso0.dll infected with Trojan.PWS.Gamania - will be cured after reboot
D:/TEMP/tlso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/fyso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/fyso0.dll infected with Trojan.PWS.Wsgame - will be cured after reboot
D:/TEMP/wgso0.dll infected with Trojan.PWS.Gamania - will be cured after reboot
D:/TEMP/wmso0.dll infected with Trojan.PWS.Wsgame - will be cured after reboot
D:/TEMP/wlso0.dll infected with Trojan.PWS.Wsgame - will be cured after reboot
D:/TEMP/rxso0.dll infected with Trojan.PWS.Gamania - will be cured after reboot
D:/TEMP/qjso0.dll infected with Trojan.PWS.Wsgame - will be cured after reboot
D:/TEMP/wdso0.dll infected with Trojan.PWS.Gamania - will be cured after reboot
D:/TEMP/tlso0.dll infected with Trojan.PWS.Wsgame - will be cured after reboot
D:/TEMP/daso0.dll infected with Trojan.PWS.Lineage - will be cured after reboot
D:/TEMP/jtso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/wlso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/wgso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/wmso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/qjso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/rxso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/wdso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/mhso0.dll infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/daso.exe infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/qjso1.dll infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/fyso1.dll infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/jtso1.dll infected with Trojan.PWS.Gamania - deleted
D:/TEMP/rxso1.dll infected with Trojan.PWS.Gamania - deleted
D:/TEMP/wdso1.dll infected with Trojan.PWS.Gamania - deleted
D:/TEMP/tlso1.dll infected with Trojan.PWS.Wsgame - deleted
D:/TEMP/daso1.dll infected with Trojan.PWS.Lineage - deleted