遭遇PSW Win32 WoWar Trojan Win32 MnLess Trojan IMMSG Win32 TBM

最新推荐文章于 2022-11-02 21:18:48 发布

画面太乱了

最新推荐文章于 2022-11-02 21:18:48 发布

阅读量840

点赞数

本文链接：https://blog.csdn.net/gdfyug/article/details/87919017

版权

分享一下我老师大神的人工智能教程。零基础！通俗易懂！风趣幽默！还带黄段子！希望你也加入到我们人工智能的队伍中来！https://blog.csdn.net/jiangjunshow

遭遇PSW.Win32.WoWar,Trojan.Win32.MnLess,Trojan.IMMSG.Win32.TBMSG等

endurer 原创
2007-07-09 第1版

一位网友说他的电脑中瑞星经常提示发现病毒，让偶通过QQ帮他远程协助。

检查瑞星的历史记录，导出一段：
/---
病毒名称处理结果    扫描方式路径文件
Trojan.PSW.Win32.WoWar.sb 删除成功    文件监控    c:/documents and settings/user/local settings/temporary internet files/content.ie5/rz9z7dws             wow0617[1].exe>>upack0.36
Trojan.PSW.Win32.WoWar.sb 删除成功    文件监控    c:/windows/system32               k11839392662.exe>>upack0.36
Trojan.PSW.Win32.OnlineGames.cyh 删除成功    文件监控    C:/WINDOWS                MsIMMs32.exe
Trojan.PSW.Win32.OnlineGames.cxb 忽略        文件监控    C:/Documents and Settings/user/Local Settings/Temporary Internet Files/Content.IE5/FISR35G1             my0616[1].exe
Trojan.PSW.Win32.XYOnline.ae    删除成功    文件监控    c:/documents and settings/user/local settings/temporary internet files/content.ie5/fisr35g1             dh0616[1].exe>>upx_c
Trojan.PSW.Win32.OnlineGames.cxb 删除成功    文件监控    C:/Documents and Settings/user/Local Settings/Temporary Internet Files/Content.IE5/FISR35G1             my0616[2].exe
Trojan.Win32.MnLess.kks         删除成功    文件监控    c:/documents and settings/user/local settings/temporary internet files/content.ie5/kzuuqyaw             vod[1].exe>>upack0.34
Trojan.Win32.MnLess.kks         删除成功    文件监控    c:/windows/system32               k118393927812.exe>>upack0.34
Trojan.IMMSG.Win32.TBMSG.hh     删除成功    文件监控    c:/windows/system32               8bbd01a6.exe>>nspack
Trojan.PSW.Win32.OnlineGames.dbf 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               msapi.dll
Trojan.IMMSG.Win32.TBMSG.hh     重新启动计算机后删除文件文件监控    c:/windows/system32               8bbd01a6.dll>>nspack
Trojan.PSW.Win32.CabalOnline.o 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               cmdbcs.dll
Trojan.PSW.Win32.OnlineGames.dcl 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               WinForm.dll
Trojan.PSW.Win32.OnlineGames.dcn 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               AVPSrv.dll
Trojan.PSW.Win32.CabalOnline.o 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               cmdbcs.dll
Trojan.PSW.Win32.OnlineGames.dcm 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               nwizqjsj.dll
Trojan.PSW.Win32.OnlineGames.dce 重新启动计算机后删除文件文件监控    C:/WINDOWS/system32               nwizwlwzs.dll
---/

下载 pe_xscan 扫描log，发现如下可疑项（进程模块部分有省略）：
/===
pe_xscan 07-06-23 by Purple Endurer
2007-7-9 12:55:10
Windows XP Service Pack 2(5.1.2600)
管理员用户组

[System Process] * 0
C:/WINDOWS/system32/k11839392684.DAT | 2007-7-9 8:1:14
C:/WINDOWS/system32/MsIMMs32.dll | 2007-7-9 8:4:12

O4 - HKLM/../Run: [Microsoft Autorun7] C:/WINDOWS/system32/nwizqjsj.exe
O4 - HKLM/../Run: [AVPSrv] C:/WINDOWS/AVPSrv.exe
O4 - HKLM/../Run: [WinForm] C:/WINDOWS/WinForm.exe
O4 - HKLM/../Run: [Microsoft Autorun11] C:/WINDOWS/system32/nwizwlwzs.exe
O4 - HKLM/../Run: [cmdbcs] C:/WINDOWS/cmdbcs.exe
O4 - HKLM/../Run: [MsIMMs32] C:/WINDOWS/MsIMMs32.exe

C:/autorun.inf
/-----
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell/Auto/command=auto.exe
-----/
D:/autorun.inf
/-----
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell/Auto/command=auto.exe
-----/
E:/autorun.inf
/-----
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell/Auto/command=auto.exe
-----/
F:/autorun.inf
/-----
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell/Auto/command=auto.exe
-----/

O23 - 服务: 4D69CF24 (4D69CF24) - C:/WINDOWS/system32/8BBD01A6.EXE -k | 2007-7-9 8:50:56 | Microsoft(R) Windows(R) Operating System| ?| ? | (C) Microsoft Corporation. All rights reserved.| ? | Microsoft Corporation| ?| ?| ?(自动)

O23 - 服务: npkycryp (npkycryp) - C:/Program Files/Tencent/QQ/npkycryp.sys(手动)

O25 - InsCom: {81716107-A10D-11cf-64CD-11115FE1CF41} = C:/WINDOWS/system32/nwizzhuxians.exe

SHOWALL 值非1
===/

到 http://purpleendurer.ys168.com 下载 FreeDLL，bat_do，FileInfo。

用FreeDLL注入进程的病毒模块，用 FileInfo 提取文件信息，用 bat_do 打包并删除，保存点都使用了延迟删除，并生成去除文件属性和删除文件命令，在下次启动时执行。

可惜有些注入进程的病毒模块刚被FreeDLL卸下来，还没提取病毒文件信息，就被瑞星删除了。只好把瑞星实时监控暂时禁用了，先前被删除的病毒文件，也懒得到瑞星的隔离区里恢复了……

用WinRAR删除各盘下的 autorun.inf 和 auto.exe。

到 http://endurer.ys168.com 下载 HijackThis，修复O4项。

O23、O25项用注册表编辑器删除。

部分病毒文件信息：

文件说明符 : C:/WINDOWS/system32/k11839392684.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-9 8:1:10
修改时间 : 2007-7-9 8:1:12
访问时间 : 2007-7-9 0:0:0
大小 : 8828 字节 8.636 KB
MD5 : 00b6f63160bb15f047cd962893a34192

文件说明符 : C:/WINDOWS/system32/k11839392684.DAT
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-9 8:1:11
修改时间 : 2007-7-9 8:1:14
访问时间 : 2007-7-9 0:0:0
大小 : 5506 字节 5.386 KB
MD5 : 21ca9c06990496a0b7642752530c1e33

文件说明符 : C:/WINDOWS/MsIMMs32.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-9 8:4:5
修改时间 : 2007-7-9 8:3:36
访问时间 : 2007-7-9 0:0:0
大小 : 22528 字节 22.0 KB
MD5 : 95d8f8399f2f09a583a13c624cea6a2d

文件说明符 : C:/WINDOWS/system32/MsIMMs32.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-9 8:4:10
修改时间 : 2007-7-9 8:4:12
访问时间 : 2007-7-9 0:0:0
大小 : 13312 字节 13.0 KB
MD5 : c73d850a7ba83e5b3833715faeb9fdf0

文件说明符 : C:/WINDOWS/system32/8BBD01A6.EXE
属性 : ----
语言 : 英语(美国)
文件版本 :
说明 :
版权 : (C) Microsoft Corporation. All rights reserved.
备注 :
产品版本 :
产品名称 : Microsoft(R) Windows(R) Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-9 8:50:57
修改时间 : 2007-7-9 8:50:56
访问时间 : 2007-7-9 0:0:0
大小 : 18231 字节 17.823 KB
MD5 : bb7c9cea012dec18c7e7b9619b7b97b7

文件说明符 : C:/WINDOWS/system32/8BBD01A6.DLL
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-7 10:6:18
修改时间 : 2007-7-9 7:59:32
访问时间 : 2007-7-9 0:0:0
大小 : 11888 字节 11.624 KB

文件说明符 : C:/WINDOWS/system32/msapi.dll
属性 : A-H-
获取文件版本信息大小失败!
创建时间 : 2007-7-7 10:22:41
修改时间 : 2007-7-7 10:22:44
访问时间 : 2007-7-9 0:0:0
大小 : 65536 字节 64.0 KB
MD5 : c66f30a73f4bf6a0e1373ca1c4e9d45a

文件说明符 : C:/WINDOWS/system32/mucltui.dll
属性 : A---
语言 : 英语(美国)
文件版本 : 7.0.6000.374 (winmain(wmbla).070416-2057)
说明 : Microsoft Update Client UI Plugin
版权 : ? Microsoft Corporation. All rights reserved.
备注 :
产品版本 : 7.0.6000.374
产品名称 : Microsoft? Windows? Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : mucltui.dll
源文件名 : mucltui.dll
创建时间 : 2006-12-31 8:11:36
修改时间 : 2007-4-16 22:44:20
访问时间 : 2007-7-9 0:0:0
大小 : 271224 字节 264.888 KB
MD5 : 5a0cd6dc6a03c5bf47ca2c16fe846d0b

文件说明符 : C:/WINDOWS/system32/nwizwlwzs.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-8 8:19:56
修改时间 : 2007-7-9 8:3:36
访问时间 : 2007-7-9 0:0:0
大小 : 10240 字节 10.0 KB
MD5 : 4d3de7dcb170be0734a95b0f17dbb603

画面太乱了

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
遭遇PSW Win32 WoWar Trojan Win32 MnLess Trojan IMMSG Win32 TBM

遭遇PSW Win32 WoWar Trojan Win32 MnLess Trojan IMMSG Win32 TBM
复制链接

扫一扫