遭遇Worm.Win32.Viking.lm/Worm.Viking.tc,Trojan.PSW.Win32.OnlineGames等2

遭遇Worm.Win32.Viking.lm/Worm.Viking.tc,Trojan.PSW.Win32.OnlineGames等2

endurer 原创
2007-07-26 第1版

看到 C:/WINDOWS/RichDll.dll 和 O4 - HKLM/../Run: [load] C:/WINDOWS/uninstall/rundl132.exe，就让偶想起Viking……

停止并禁用WindowsDown (Windows_SystemDown)

卸载百度超级搜霸

下载安装瑞星卡卡安全助手，选择 [高级功能]，在[插件管理及卸载] 里把 O2、O24 项卸载掉，

在[系统启动项管理]里，右击 O4 、O20 和 O23 项对应的项目，从弹出的菜单里选择删除。

在 [IE及系统修复] 里修复红色显示的部分：HKLM/SHOWALL 值非1

重启电脑到带网络连接的安全模式

到 http://purpleendurer.ys168.com 下载 bat_do 和 FileInfo。

用 FileInfo提取文件信息，用 bat_do 将可疑文件打包备份，使用延迟删除，然后生成去除属性和删除命令并执行，再下次启动时执行。

下载 Dr.Web CureIt!并启动，关闭其它程序，然后扫描。果然Cured 一大批EXE文件。

发现c:/windows下还有许多*.tmp文件，估计还是没有清除干净，下载安装 AntiVir，升级后扫描，又查杀一片……

文件说明符 : c:/auto.exe
属性 : A---
语言 : 英语(美国)
文件版本 : 0. 0. 0. 0
说明 :
版权 :
备注 :
产品版本 : 0.0.0.0
产品名称 :
公司名称 :
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 22:29:17
修改时间 : 2007-7-22 14:7:20
访问时间 : 2007-7-24 0:0:0
大小 : 150902 字节 147.374 KB
MD5 : 95f6b14e09d222109627e52119650a80

Kaspersky 报为 Trojan.BAT.Jaser.a，瑞星 报为 Trojan.Win32.Agent.isj

文件说明符 : D:/auto.exe
属性 : A-H-
语言 : 英语(美国)
文件版本 :
说明 :
版权 : (C) Microsoft Corporation. All rights reserved.
备注 :
产品版本 :
产品名称 : Microsoft(R) Windows(R) Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 22:29:16
修改时间 : 2007-7-14 21:33:0
访问时间 : 2007-7-24 0:0:0
大小 : 18238 字节 17.830 KB
MD5 : d2fe534bef101b33b43ea9a076dbe03b

Kaspersky 报为 Backdoor.Win32.Agent.ahj，瑞星 报为 Trojan.IMMSG.Win32.TBMSG.id

文件说明符 : f:/auto.exe
属性 : A---
语言 : 中文(中国)
文件版本 : 1.0.0.0
说明 :
版权 :
备注 :
产品版本 : 1.0.0.0
产品名称 :
公司名称 :
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 22:29:18
修改时间 : 2007-7-14 21:33:0
访问时间 : 2007-7-24 0:0:0
大小 : 113470 字节 110.830 KB
MD5 : 25cfbb81b7f757e29b9a1d355114127a

Kaspersky 报为 Worm.Win32.Viking.lm，瑞星 报为 Worm.Viking.tc

文件说明符 : C:/WINDOWS/system32/70C59D59.EXE
属性 : A---
语言 : 英语(美国)
文件版本 :
说明 :
版权 : (C) Microsoft Corporation. All rights reserved.
备注 :
产品版本 :
产品名称 : Microsoft(R) Windows(R) Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 22:31:42
修改时间 : 2007-7-24 9:30:2
访问时间 : 2007-7-24 0:0:0
大小 : 33946 字节 33.154 KB
MD5 : 4a7d78094ad21d6e2a722f0c898a602a

Kaspersky 报为 Backdoor.Win32.Agent.ahj，瑞星 报为 Trojan.IMMSG.Win32.TBMsg.g

文件说明符 : C:/WINDOWS/system32/27E3671A.EXE 与 D:/auto.exe 相同。

文件说明符 : C:/WINDOWS/system32/netsrvcs.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 22:30:50
修改时间 : 2007-7-24 10:10:52
访问时间 : 2007-7-24 0:0:0
大小 : 19968 字节 19.512 KB
MD5 : f36a89b1ec44c259158fe1e0f59351bf

文件说明符 : C:/WINDOWS/system32/servet.exe
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2007-7-22 15:20:26
修改时间 : 2007-7-22 15:20:28
访问时间 : 2007-7-24 0:0:0
大小 : 16613 字节 16.229 KB
MD5 : e42e9b5ccb602214271c1fb924a00ecc

Kaspersky 报为 Virus.Win32.AutoRun.au，瑞星 报为 Trojan.DL.Mnless.akb

文件说明符 : C:/Program Files/Internet Explorer/msvcrt.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2001.01
备注 :
产品版本 : 6.00.2900.3028
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : Windows.dll
源文件名 : Windows.dll
创建时间 : 2007-7-11 11:44:33
修改时间 : 2007-7-24 10:45:40
访问时间 : 2007-7-24 0:0:0
大小 : 14895 字节 14.559 KB
MD5 : 92e84feb5d8e1896d9517cb350241d4d

Kaspersky 报为 Virus.Win32.AutoRun.bk，瑞星 报为 Trojan.PSW.Win32.OnlineGames.dpo

文件说明符 : C:/WINDOWS/system32/jzdpri.dll
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2004-8-4 22:29:27
修改时间 : 2004-8-4 22:29:28
访问时间 : 2007-7-24 0:0:0
大小 : 14897 字节 14.561 KB
MD5 : 6d70e19c8b17f4580b0eb9a57258bd63

Kaspersky 报为 Trojan-Spy.Win32.Delf.uv，瑞星 报为 Trojan.PSW.Win32.ZeroOnline.d

文件说明符 : C:/WINDOWS/system32/jhapri.dll
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2004-8-4 22:30:24
修改时间 : 2004-8-4 22:30:26
访问时间 : 2007-7-24 0:0:0
大小 : 15430 字节 15.70 KB
MD5 : 06cfa2c2962b87b8a8293a142879e365

Kaspersky 报为 Trojan-Downloader.Win32.Small.ewc，瑞星 报为 Trojan.PSW.Win32.OnlineGames.dji

文件说明符 : C:/WINDOWS/system32/dhbpri.dll
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2004-8-4 22:31:58
修改时间 : 2004-8-4 22:32:0
访问时间 : 2007-7-24 0:0:0
大小 : 16428 字节 16.44 KB
MD5 : 36e019ede78fd535c2a90829ecb9c67b

Kaspersky 报为 Trojan-Spy.Win32.Delf.uv，瑞星 报为 Trojan.PSW.Win32.XYOnline.bx

文件说明符 : C:/WINDOWS/system32/myapri1.dll
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2004-8-4 22:29:45
修改时间 : 2004-8-4 22:29:46
访问时间 : 2007-7-24 0:0:0
大小 : 16941 字节 16.557 KB
MD5 : 54756a31770cf613e871a60532fd5c78

Kaspersky 报为 Trojan-Downloader.Win32.Small.exh，瑞星 报为 Trojan.PSW.Win32.RocOnline.ar

文件说明符 : C:/WINDOWS/system32/tllpri.dll
属性 : -SH-
获取文件版本信息大小失败!
创建时间 : 2004-8-4 14:17:34
修改时间 : 2004-8-4 14:17:36
访问时间 : 2007-7-24 0:0:0
大小 : 15409 字节 15.49 KB
MD5 : b8a0479ad261003c16f547b5f50717d4

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.up，瑞星 报为 Trojan.PSW.Win32.TLOnline.o

文件说明符 : C:/WINDOWS/system32/mybpri.dll
属性 : ----
获取文件版本信息大小失败!
创建时间 : 2004-8-4 21:24:37
修改时间 : 2004-8-4 21:24:38
访问时间 : 2007-7-24 0:0:0
大小 : 16941 字节 16.557 KB
MD5 : 33a9f4cfcb804a88c9b8d2421a6e77e4

Kaspersky 报为 Trojan-Downloader.Win32.Small.exh，瑞星 报为 Trojan.PSW.Win32.RocOnline.aq

文件说明符 : C:/Program Files/Internet Explorer/msvcrt.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2001.01
备注 :
产品版本 : 6.00.2900.3028
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : Windows.dll
源文件名 : Windows.dll
创建时间 : 2007-7-11 11:44:33
修改时间 : 2007-7-24 10:45:40
访问时间 : 2007-7-24 0:0:0
大小 : 14895 字节 14.559 KB
MD5 : 92e84feb5d8e1896d9517cb350241d4d

文件说明符 : C:/WINDOWS/upxdnd.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 22:31:48
修改时间 : 2007-7-24 10:11:0
访问时间 : 2007-7-24 0:0:0
大小 : 30720 字节 30.0 KB
MD5 : 4645c40ad811c93e25110ddac97e6c70

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.zb，瑞星 报为 Trojan.PSW.Win32.OnlineGames.dho

文件说明符 : C:/WINDOWS/cmdbcs.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 22:31:40
修改时间 : 2007-7-24 10:31:22
访问时间 : 2007-7-24 0:0:0
大小 : 15872 字节 15.512 KB
MD5 : ae4dfcb62414d37c22849b847537f854

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.acx，瑞星 报为 Trojan.PSW.Win32.OnlineGames.dmg

文件说明符 : C:/WINDOWS/TIMHost.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 22:30:38
修改时间 : 2007-7-24 10:30:20
访问时间 : 2007-7-24 0:0:0
大小 : 32256 字节 31.512 KB
MD5 : 58606d8eeda24ae296097286e228a8d1

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.yn，瑞星 报为 Trojan.PSW.Win32.RocOnline.t

文件说明符 : C:/WINDOWS/WinForm.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-21 22:30:32
修改时间 : 2007-7-24 10:29:14
访问时间 : 2007-7-24 0:0:0
大小 : 12800 字节 12.512 KB
MD5 : 6bf025004eec41f38b70246ad324cb56

瑞星 报为 Trojan.PSW.Win32.WSgame.p

文件说明符 : C:/WINDOWS/mppds.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-23 21:3:8
修改时间 : 2007-7-24 10:29:10
访问时间 : 2007-7-24 0:0:0
大小 : 28160 字节 27.512 KB
MD5 : 661d9fbd9536741bbf13683e0daef672

瑞星 报为 Trojan.PSW.Win32.RBLand.t

文件说明符 : C:/WINDOWS/Kvsc3.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-23 21:24:17
修改时间 : 2007-7-24 10:29:12
访问时间 : 2007-7-24 0:0:0
大小 : 14848 字节 14.512 KB
MD5 : df33bf99fdfba5c584bb0d897f4fa45d

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.acy，瑞星 报为 Trojan.PSW.Win32.SunOnline.u

文件说明符 : C:/WINDOWS/uninstall/rundl132.exe
属性 : A---
语言 : 中文(中国)
文件版本 : 1.0.0.0
说明 :
版权 :
备注 :
产品版本 : 1.0.0.0
产品名称 :
公司名称 :
合法商标 :
内部名称 :
源文件名 :
创建时间 : 2007-7-21 22:29:16
修改时间 : 2007-7-24 10:10:20
访问时间 : 2007-7-24 0:0:0
大小 : 95232 字节 93.0 KB
MD5 : 51395b92e92b1096ec22b9596d7f2b97

图标和WinRAR一样

Kaspersky 报为 Worm.Win32.Viking.lm，瑞星 报为 Worm.Viking.tc

文件说明符 : C:/WINDOWS/system32/dsakfsak14.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-7-24 10:34:59
修改时间 : 2007-7-24 10:35:0
访问时间 : 2007-7-24 0:0:0
大小 : 8016 字节 7.848 KB
MD5 : 6bcf9260f3fec1071a1012e99ffbfafa

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.acz，瑞星 报为 Trojan.PSW.Win32.OnlineGames.dnd