遭遇灰鸽子2006、魔兽盗号木马等

endurer　原创
2006-08-31 第1版

有一位网友的电脑，双击桌面图标，显示出来的却是图标的属性窗口。瑞星实时监控也无法打开。

使用HijackThis（可以到 hxxp://endurer.ys168.com 下载）扫描log，发现可疑项：

-----------
Logfile of HijackThis v1.99.1
Scan saved at 17:01:15, on 2001-5-16
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

F2 - REG:system.ini: UserInit=G:/WINDOWS/system32/Userinit.exe

O2 - BHO: xBarHelper.MoveCatchPic - {0CF098A0-CBAC-4EFB-8451-3AFC201C7222} - G:/Program Files/xBar/xBarHelper.dll

O4 - HKLM/../Run: [NMGameX_AutoRun] G:/WINDOWS/system32/Rundll32.exe NMGameX.dll,LiveProcess /aa

O4 - HKLM/../Run: [xBarUpdate] G:/Program Files/xBar/xBarUpdate.exe

O4 - HKLM/../Run: [wdfmgr32] G:/WINDOWS/system32/wdfmgr32.exe

O4 - HKLM/../Run: [Net Driver] G:/WINDOWS/system32/netcfgw.exe

O4 - HKLM/../Run: [Systems32] G:/WINDOWS/system32/Server.exe

O23 - Service: pigeon (pagets) - Unknown owner - G:/WINDOWS/G_Server2006.exe
-----------/

运行瑞星注册表修复工具检修文件关联

停止并禁用服务：pigeon (pagets)

卸载：xBar，百度超级搜霸，雅虎助手

用 WinRAR找到文件：
/-----------
G:/WINDOWS/G_Server2006.exe（Kaspersky 报为 Packed.Win32.Klone.h）
G:/WINDOWS/system32/netcfgw.exe
G:/WINDOWS/system32/netcfgw.dll
G:/WINDOWS/system32/Server.exe（Kapsersky 报为 Trojan-PSW.Win32.WOW.ch）
G:/WINDOWS/system32/wdfmgr32.exe
G:/WINDOWS/system32/wdfmgr32.log
-----------/

打包备份后删除。

关闭所有浏览器和文件夹窗口，用HijackThis扫描并修复上面所列项目。

清空IE临时文件夹

清空 c:/Documents and Settings/user/Local Settings/temp