遭遇万能搜索（WANSO,RootKit.Agent.sa,Trojan.AdPlayer.a）、kuzhan等N多病毒

最新推荐文章于 2024-08-08 16:15:46 发布
最新推荐文章于 2024-08-08 16:15:46 发布
阅读量682 收藏
点赞数
文章标签： 操作系统

endurer 原创

2007-02-14 第1版

昨晚，一位朋友说他家的电脑最近经常死机、重启，让偶帮忙检修看看。

到 http://endurer.ys168.com 下载 HijackThis 扫描log，发现如下可疑项：

/---------
Logfile of HijackThis v1.99.1
Scan saved at 19:43:59, on 2007-02-13
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:/WINDOWS/system32/-413513.exe
C:/WINDOWS/system32/-986176.exe
C:/WINDOWS/system32/rnmkflk.exe
C:/WINDOWS/system32/tfkeeef.exe

O2 - BHO: ComBho - {1F80EA54-211C-4A3A-9C4E-C3F19D589079} - C:/WINDOWS/system32/iScreensaver.dll (file missing)

O2 - BHO: BHOImp Class - {70AFF2CB-9DA2-499C-8D15-900729FCE83D} - C:/WINDOWS/system32/YHBO.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:/program files/google/googletoolbar4.dll

O2 - BHO: QuickBtn - {D1BB7CF4-4463-4e91-88D7-ECC3CE0A13B7} - C:/Program Files/kuzhan/kuzhan.dll

O4 - HKLM/../Run: [-413513] C:/WINDOWS/system32/-413513.exe
O4 - HKLM/../Run: [-986176] C:/WINDOWS/system32/-986176.exe
O4 - HKLM/../Run: [rnmkflk] C:/WINDOWS/system32/rnmkflk.exe

O4 - HKLM/../Run: [tfkeeef] C:/WINDOWS/system32/tfkeeef.exe

O4 - HKCU/../Run: [swg] C:/Program Files/Google/GoogleToolbarNotifier/1.2.1128.5462/GoogleToolbarNotifier.exe

O4 - Global Startup: WanSo.lnk = ?
O4 - Global Startup: WNSO.lnk = C:/Program Files/Common Files/RGGZS/WNSO.exe
O4 - Global Startup: ylhkle.lnk = C:/WINDOWS/system32/ylhklek.exe

O9 - Extra button: 酷站导航 - {1D901067-2529-4A9B-9B6B-7A1DB3A44CB5} - C:/Program Files/kuzhan/kuzhan.dll

O23 - Service: Google Updater Service (gusvc) - Google - C:/Program Files/Google/Common/Google Updater/GoogleUpdaterService.exe
---------/

看到O4组那几个启动项，可以确定是中标了。

卸载：酷站导航（kuzhan）、中文上网

到 http://endurer.ys168.com 下载 瑞星杀毒助手，使用瑞星在线免费扫描，发现下列病毒：

/---------
2007-2-12 20:29:24　瑞星杀毒助手
Windows XP Service Pack 2(5.1.2600)
文件名 病毒名
C:/Documents and Settings/PLAY/Local Settings/Temp/DATA0000.EXE Harm.RavFree.lb
C:/Documents and Settings/PLAY/Local Settings/Temp/exe1.tmp Trojan.DL.QQHelper.ewg
C:/Documents and Settings/PLAY/Local Settings/Temp/fsprot.sys Trojan.Agent.yja
C:/Documents and Settings/PLAY/Local Settings/Temp/HTTPDll.dll.0.tmp Trojan.DL.Agent.mex
C:/Documents and Settings/PLAY/Local Settings/Temp/HTTPDll.tmp Trojan.DL.Agent.mex
C:/Documents and Settings/PLAY/Local Settings/Temp/moprot.sys Trojan.Agent.yiz
C:/Documents and Settings/PLAY/Local Settings/Temp/rg_lyric_039.exe>>$WINDIR/system32/YHBO.dll Trojan.DL.YBHO.a
C:/Documents and Settings/PLAY/Local Settings/Temp/rg_lyric_039.exe>>$WINDIR/system32/HTTPDll.dll Trojan.DL.Agent.mex
C:/Documents and Settings/PLAY/Local Settings/Temp/rg_lyric_039.exe>>$WINDIR/system32/lrcsys.exe Trojan.DL.YBHO.a
C:/Documents and Settings/PLAY/Local Settings/Temp/YHBO.dll.0.tmp Trojan.DL.YBHO.a
C:/Documents and Settings/PLAY/Local Settings/Temp/YHBO.tmp Trojan.DL.YBHO.a
C:/Program Files/Common Files/WANSO/Player.dll Trojan.AdPlayer.a
C:/WINDOWS/11.tmp Trojan.Agent.wxx
C:/WINDOWS/14.tmp Trojan.Agent.xqw
C:/WINDOWS/16.tmp Trojan.DL.QQHelper.eqg
C:/WINDOWS/17.tmp Trojan.Agent.zqn
C:/WINDOWS/18.tmp Trojan.DL.Adload.aer
C:/WINDOWS/20.tmp Trojan.DL.QQHelper.eqb
C:/WINDOWS/21.tmp Trojan.DL.QQHelper.eqb
C:/WINDOWS/22.tmp Trojan.DL.QQHelper.eqg
C:/WINDOWS/27.tmp Trojan.DL.QQHelper.eqb
C:/WINDOWS/28.tmp Trojan.DL.QQHelper.eqb
C:/WINDOWS/30.tmp Trojan.DL.Adload.aer
C:/WINDOWS/31.tmp Trojan.DL.Adload.aer
C:/WINDOWS/3B.tmp Trojan.DL.QQHelper.exl
C:/WINDOWS/41.tmp Trojan.Agent.ail
C:/WINDOWS/4C.tmp Trojan.Agent.xxa
C:/WINDOWS/4D.tmp Trojan.DL.QQHelper.eqf
C:/WINDOWS/4E.tmp Trojan.Agent.xxa
C:/WINDOWS/53.tmp Trojan.DL.QQHelper.eye
C:/WINDOWS/5B.tmp Trojan.Agent.xxc
C:/WINDOWS/5C.tmp Trojan.Agent.xxc
C:/WINDOWS/77.tmp Trojan.DL.QQHelper.evx
C:/WINDOWS/7B.tmp Trojan.DL.QQHelper.evx
C:/WINDOWS/81.tmp Trojan.DL.QQHelper.iq
C:/WINDOWS/82.tmp Trojan.DL.QQHelper.iq
C:/WINDOWS/88.tmp>>UPX Trojan.Agent.xex
C:/WINDOWS/89.tmp>>UPX Trojan.Agent.xex
C:/WINDOWS/8C.tmp Trojan.DL.Agent.zal
C:/WINDOWS/8E.tmp Trojan.DL.Agent.zal
C:/WINDOWS/90.tmp>>UPX Trojan.DL.Adload.amj
C:/WINDOWS/91.tmp Trojan.DL.QQHelper.eqx
C:/WINDOWS/93.tmp Trojan.DL.QQHelper.iq
C:/WINDOWS/94.tmp>>UPX Trojan.DL.Adload.amj
C:/WINDOWS/98.tmp Trojan.DL.QQHelper.iq
C:/WINDOWS/A5.tmp Trojan.DL.QQHelper
C:/WINDOWS/A6.tmp Trojan.DL.Adload.aeq
C:/WINDOWS/A7.tmp Trojan.DL.QQHelper
C:/WINDOWS/A9.tmp Trojan.DL.Adload.aeq
C:/WINDOWS/AC.tmp>>UPX Trojan.Agent.xkq
C:/WINDOWS/B2.tmp Trojan.Resun.a
C:/WINDOWS/B8.tmp Trojan.DL.QQHelper.eqx
C:/WINDOWS/BA.tmp Trojan.Agent.xxc
C:/WINDOWS/BB.tmp Trojan.Agent.xxc
C:/WINDOWS/kw_rg_lyric_039.exe Dropper.TiHs.ak
C:/WINDOWS/Setup2.exe>>$SYSDIR/rundll32.dll Trojan.Clicker.Agent.acd
C:/WINDOWS/Setup2.exe Dropper.QQHelper.a
C:/WINDOWS/system32/-15441.exe>>UPX Trojan.Agent.wou
C:/WINDOWS/system32/-413513.exe Trojan.DL.QQHelper.emb
C:/WINDOWS/system32/-986176.exe Trojan.Agent.zqn
C:/WINDOWS/system32/drivers/fkwld.sys RootKit.Agent.sa
C:/WINDOWS/system32/drivers/nwlnksipx.sys Trojan.StartPage.tns
C:/WINDOWS/system32/mssapi.dll Trojan.DL.QQHelper.eks
C:/WINDOWS/system32/rdkghdi.exe>>UPX Trojan.DL.AdLoad.aaa
C:/WINDOWS/system32/rundll32.dll Trojan.Clicker.Agent.acd
C:/WINDOWS/system32/sethp.exe Dropper.Agent.bfj
C:/WINDOWS/system32/szdj.dll Trojan.DL.QQHelper.eyw
C:/WINDOWS/system32/tfkeeef.exe Trojan.DL.Agent.cqe
C:/WINDOWS/system32/wbem/irjit.dll Trojan.DL.QQHelper.faf
C:/WINDOWS/system32/wbem/setupcnn.exe Trojan.Xema.kt
C:/WINDOWS/system32/wbem/smtpconfs.dll Trojan.DL.Agent.daa
C:/WINDOWS/system32/ylhklek.exe Trojan.DL.Agent.cqe
C:/WINDOWS/system32/zneihmh.exe Trojan.DL.Agent.cqe
C:/WINDOWS/Temp/fkwld.sys RootKit.Agent.sa
---------/

到 http://purpleendurer.ys168.com 下载了bat_do，将几个病毒文件打包备份了。
然后删除，有几个无法删除，使用了“下次启动时删除”功能。

电脑中装有的江民KV2006已过期，卸载了。

重启电脑到安全模式，江民的年卡虽然有几个，不过都送人了。下载了1个月免费版本江民KV2007安装，升级后扫描，发现了几个病毒，其中WANSO文件夹里的那几个提示重启时删除。

用 HijackThis 修复了 除 Google 外的项目。

用 pe_xscan 扫描，找到并删除注册表中包含的病毒有关项目：

/---------
pe_xscan by Purple Endurer
2007-2-12 21:23:31
Windows XP Service Pack 2(5.1.2600)
管理员用户组

O23 - 服务: front (front) - system32/drivers/front.sys | Microsoft(R) Windows NT(R) Operating System | 5.00.1639.6 | NT file system | Copyright (C) Microsoft Corp. 2006-2008 | 5.00.1639.6 | Microsoft Corporation | | front.sys | front.sys(系统)

O23 - 服务: fkwld (fkwld) - system32/drivers/fkwld.sys | Microsoft(R) Windows NT(R) Operating System | 5.00.1639.6 | NT file system | Copyright (C) Microsoft Corp. 2006-2008 | 5.00.1639.6 | Microsoft Corporation| ? | fkwld.sys | fkwld.sys(系统)

O23 - 服务: MouTALS (QoS Service) - C:/WINDOWS/SYSTEM32/RUNDLL32.EXE C:/WINDOWS/SYSTEM32/WBEM/SMTPCONFS.DLL,Export 1087(自动启动)

O23 - 服务: nwlnksipx (nwlnksipx) - C:/WINDOWS/system32/drivers/nwlnksipx.sys | Microsoft Windows Operating System | 5.1.2600.80 | NWLINK2 SIPX Protocol Driver | Microsoft Corporation. All rights reserved. | 5.1.2600.80 | Microsoft Corporation| ? | nwlnksipx.sys | nwlnksipx.sys(自动启动)

O23 - 服务: Trial (Cryptographic Machine) - C:/WINDOWS/System32/svchost.exe -k netsvcs -> C:/WINDOWS/system32/szdj.dll | Microsoft(R) Windows(R) Operating System | 5.1.2600.0 | szdj | Copyright (C) Microsoft Corporation 1990-2000 | 5.1.2600.0 | Microsoft Corporation| ? | szdj | szdj.dll(自动启动)
---------/

重启电脑后，江民KV2007开机扫描又报告WANSO文件夹里的那几个东东，要重启删除。

重启电脑，还是报告……

看来江民是搞不定了。

用pe_xscan 扫描，又发现了

/---------
O4 - Global Startup: WanSo.lnk ->
O4 - Global Startup: WNSO.lnk -> C:/Program Files/Common Files/RGGZS/WNSO.exe
---------/

估计是这两项引起的，用HijackThis修复, 总不成功。

下载安装了卡卡安全助手，升级后扫描，发现了万能搜索（WANSO），清理了。

重启电脑，江民KV2007开机扫描没有报告了，但又弹出对话框，提示加载C:/PROGRA~1/COMMON~1/WANSO/Player.dll出现问题。

检查发现

O4 - Global Startup: WanSo.lnk ->

还存在。

用 IceSword 强制删除了。

重启电脑，这次没有出错信息框。

后来江民KV又报告google的东东有问题……明天再回忆整理

今天认真检查了 pe_xscan 的 log，又发现两个可疑服务项：

一个是：

/---------
O23 - 服务: npkcusb (npkcusb) - C:/WINDOWS/system32/npkcusb.sys | nProtect KeyCrypt Driver | 4. 0. 0. 0 | nProtect KeyCrypt Driver | Copyright (C) INCA Internet. 2000-2005 | 2005. 9. 10. 1 | INCA Internet Co., Ltd.| ? | npkcusb.sys | npkcusb.sys(自动启动)
---------/

腾讯QQ 使用的 npkcusb.sys 应该是在QQ程序文件夹里。

另一个是：

/---------
O23 - 服务: roreg (roreg) - system32/drivers/roreg.sys | roreg for Windows NT | 4.027 | Windows NT Registry Driver | Copyright (C) Microsoft Corp. 2006-2008 | 4.027 | Windows System Internal| ? | roreg.sys | roreg.sys(系统)
---------/

用google在网上搜索，有资料说这个服务是WanSo用来保护自身的东东。

分析pe_xscan 的 log 的网页前几天已经写好了，就是 Windows 系统文件和服务一直偷懒没有整理，看来要尽快整理出来……

iteye_6637
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
pcl中的pcd文件
11-15
pcl库中完整的pcd文件，包括龙、弥勒佛、兔子以及一些场景数据
点云数据文件格式
weixin_30480583的博客
01-16 1956
前两天对于pcl点云库搭建好，写了个简单的文件读取，在这边我们读取的文件是pcd格式的。在多视图重建领域中Furukawa 等提出的PMVS (Patch based multi-view stereopesis)算法中，在实现的最后点云格式是ply格式的，对于这个新的pcd格式肯定要了解一下。 参考http://www.pclcn.org/study/shownews.php?lan...
将PCD点云文件传入Vrep的一种方法
wangrui449966的博客
07-03 1316
将PCD点云文件传入Vrep的一种方法写在前面思路 写在前面 最近遇到一个项目，需要把PCD点云文件中的点云导入到Vrep中进行仿真，然而Vrep中并没有读取PCD文件的接口，但是Vrep支持添加点云进入场景进行仿真。 思路 通过外部的程序，读取PCD文件，得到点云后， ...
pcd格式点云的显示程序
popo312312的博客
03-30 5062
大四毕设题目是基于Kinect的三维重建，因为网上没有现成的观察pcd格式点云的程序。因此通过vs2015生成一个exe格式文件以供本人和大家使用！ 以下是使用说明： 1.解压viewer.rar压缩包 2.打开viewer文件夹 如图在viewer文件夹下导入点云pcd格式文件（若该文件夹下无pcd格式文件会报错!） 3.点击viewer.exe文件 4.输入pcd文件名+回...
Linux 设备文件
adderllyer的专栏
12-19 6871
LINUX ALLOCATED DEVICES (2.6+ version) Maintained by Torben Mathiasen Last revised: 18 March 2008This list is the Linux Device List, the official registry of allocateddevice numbers
python中if brthon环境安装包_Ant、Gradle、Python三种打包方式的介绍
weixin_39653311的博客
12-01 4万+
今天谈一下Androdi三种打包方式，Ant、Gradle、Python。当然最开始打包用Ant 很方便，后来转Studio开发，自带很多Gradle插件就用了它，然后随着打包数量越多，打包时间成了需要考虑的事，前两者平均打一个包要花费2-3分钟，打30个就要差不多2个小时；而前两者打包的思路主要是，替换AndroidManifest.xml的meta-data下的value值，然后重新编译 注：...
点云数据格式PCD（Point Cloud Data)
温顺的野狼
12-28 2万+
PCD（点云数据）文件格式   本节描述PCD（点云数据）文件格式。 为什么用一种新的文件格式？         PCD文件格式并非白费力气地做重复工作，现有的文件结构因本身组成的原因不支持由PCL库引进n维点类型机制处理过程中的某些扩展，而PCD文件格式能够很好地补足这一点。PCD不是第一个支持3D点云数据的文件类型，尤其是计算机图形学和计算几何学领域，已经创建了很多格式来描述任意多
工作日志（2007-10-9）
weixin_34233679的博客
10-10 73
早上到公司，财务机子出问题：表现状况，启动极慢，启动是弹出在programes\conne\wanso\player.dll找不到 ，而且无法浏览网页，用ping可以ping通网关，可以ping通[url]www.baidu.com[/url]，用nslookup可以解析域名，说明与互联网连接没问题，问题可能出在浏览器上，想了一会上网查资料，没有解决问题，后用360查出恶意流...
PCL系列——读入PCD格式文件
张学志の博客
03-30 3万+
PCL系列 PCL系列——读入PCD格式文件 操作 在VS2010 中新建一个文件read_pcd.cpp，然后将下面的代码复制到文件中。 参照之前的文章，配置项目的属性。设置包含目录和库目录和附加依赖项。 #include <iostream> //标准输入输出流 #include <pcl/io/pcd_io.h> //PCL的PCD格式文件的输入输出头文件 #include <pcl/poin
cad快捷工具包
10-12
贱人工具箱5.7破解版是AutoCAD平台下优秀的插件，贱人工具箱5.8破解版实用的小工具就包括200多个，用户在使用以后可以提升40%以上的绘图效率，而且还能支持AutoCAD2000以上所有版本，用户无需安装以及加载即可正常使用。
system.exe,alien32.exe,ftsKetNt.7ps,SysKetNt.Sys, iexpe.exe等2
caobihole
01-08 975
system.exe,alien32.exe,ftsKetNt.7ps,SysKetNt.Sys, iexpe.exe等2 endurer 原创2009-01-08 第1版 分析好了，就开始修复。 先到http://purpleendurer.ys168.com下载 bat_do 和 FileInfo，用FileInfo提取红色标记的文件信息，并用bat_do打包备份，延时删除。 ...
beep.sys/Trojan.NtRootKit.1192,msplugplay 1005.sys/BackDoor.Pigeon.13201等2
caobihole
06-25 262
beep.sys/Trojan.NtRootKit.1192,msplugplay 1005.sys/BackDoor.Pigeon.13201等2 endurer 原创 2008-06-25 第1版 （续1） 先修正电脑日期，然后下载 DrWeb CureIt!扫描。 同时下载 bat_do、FileInfo 提取文件信息，打包备份，延时删除。 接着下载 瑞星卡卡安全助手清理恶意程序...
sqlplus可以连接，pl/sql 报ORA-12154： TNS：无法解析指定的连接标志符
xhbmj的专栏
08-29 5467
客户端：oracle92 数据库服务器：oracle10.1   部署完程序，运行报错： ORA-12154： TNS：无法解析指定的连接标志符   在客户端使用sqlplus连接正常，客户端使用plsql连接报ora-12154错误；随后发现客户端上有2个oracle，一个oracle92(正在使用的)、一个oracle10.1，我配置的tnsnames.ora是oracle9下的，
xgboost安装失败:Files/directories (from PKG-INFO) not found in C:\Users\WANGFA~1\AppData\Local\Temp\pip-
未来战警
08-14 6396
最近使用xgboost算法，但是 安装时遇到 以下错误： Files/directories (from PKG-INFO) not found in C:\Users\WANGFA~1\AppData\Local\Temp\pip-install-w0adajf1\xgboost\pip-egg-info 安装方式： pip install xgboost 从报错来看，应该是 缺少依赖，所...
中了Viking,抓到CONFIG.EXE,NTDLL32.dll,webpnt.exe等
caobihole
04-05 312
endurer 原创2007-04-05 第1版 昨天刚上班，一位同事说他的电脑反应很慢，让偶去检修。 打开任务管理器，看到IEXPLORE.New之类的，肯定是中标了。 下载pe_xscan扫描了log，重启电脑到带网络连接的安全模式下，使用在线网页分析，发现可疑项： pe_xscan 07-03-17 by Purple Endurer2007-4-4 8:26:38Windows X...
DANDELION 病毒
热门推荐
yeshen.org
03-11 6万+
我也不知道这个非技术文章怎么这么多人看。 如果你是单身的女生，请务必！找我帮你修电脑/修手机！   三月五号从QQ空间打开浏览器，突然重定向到淘宝，桌面除了一个聚划算的图标，本来没什么，找到对应的程序DANDELION.EXE停止掉，删除，今晚在用wireshark看网路连接，网络一波又一波，在公司电脑没这么多连接啊，看了下任务管理器居然又看到它了！！！ 找了一下，找到了Dandelion...
遭遇流氓软件 CPUSH
Purpleendurer@CSDN
08-01 3213
遭遇流氓软件 CPUSHendurer 原创2007-08-01 第1版刚才一位网友说他的电脑中了病毒，瑞星清除后重启电脑又出现了，让偶通过QQ远程协助。检查瑞星的杀毒记录，原来是 CPUSH 这个流氓软件。运行瑞星卡卡安全助手，使用[基本功能]里的[查杀恶意及流氓软件]，果然报告发现 CPUSH，点击[立即清除]按钮……再检查开机启动项，发现还残留有 CPUSH 的启动项，像
Linux磁盘管理与文件系统（一）：磁盘、MBR与分区和文件系统
最新发布
shyuu的博客
08-08 996
Linux磁盘管理与文件结构（一），理论讲解磁盘结构、MBR与分区和文件系统
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值