遭遇Windows Update.exe/Trojan.Win32.Autoit.fc，情se发布器.exe/AdWare.Win32.Undef.eko

最新推荐文章于 2023-06-24 02:00:06 发布
最新推荐文章于 2023-06-24 02:00:06 发布
阅读量439 收藏
点赞数
文章标签： 操作系统 shell

遭遇Windows Update.exe/Trojan.Win32.Autoit.fc，情se发布器.exe/AdWare.Win32.Undef.eko

endurer 原创
2009-05-19 第1版

一位朋友的电脑最近出现了奇怪的毛病，请偶帮忙检修。

打开电脑进入Windows桌面后，感觉电脑很卡，除了超级巡警窗口，打开其它窗口都像是不停地自动在进行前台程序和后台程序的切换，一闪一闪的，很难操作。

打开任务管理器，检查进程的CPU占用率，发现CPU使用率100%，其中进程Windows Update.exe占用了70%左右。

重启电脑到“带命令行提示的安全模式”，运行pe_xscan扫描log并分析，发现如下可疑项：

pe_xscan 09-04-28 by Purple Endurer
2009-05-19 14:12:4
Windows XP Service Pack 3(5.1.2600)
MSIE:6.0.2900.5512
管理员用户组
带命令行提示的安全模式

F2 - REG: system.ini: UserInit = ＜C:/WINDOWS/system32/userinit.exe,C:/WINDOWS/system32/Windows Update.exe＞

O30 - IeOpenHomePage = "C:/Program Files/Internet Explorer/iexplore.exe" hxxp://www.52**4*16.com

另外在c:/ 发现 情se发布器.exe，WMP的图标，可疑。

用FileInfo提取文件信息，用bat_do打包备份后删除。

用HijackThis修复F2项。

O30项说明注册表中的

[HKEY_CLASSES_ROOT/CLSID/{871C5380-42A0-1069-A2EA-08002B30309D}/shell/OpenHomePage/Command，

的值被修改了，手工把后面的网址去掉就行了。

附：恶意程序文件信息

文件说明符 : C:/WINDOWS/system32/Windows Update.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1.0
说明 : Windows Update
版权 : http://www.microsoft.com/
备注 : Windows Update
创建时间 : 2009-2-22 2:41:3
修改时间 : 2009-2-22 2:41:14
大小 : 325939 字节 318.307 KB
MD5 : 422221553bcd2e13612719068973b69a
SHA1: F56611D1BE5E7AB17B3F3A9D7997D153AABE34FC
CRC32: 457d6ebf

文件 Windows_Update.exe.del 接收于 2009.05.19 08:16:07 (CET)

反病毒引擎版本最后更新扫描结果
a-squared4.0.0.1012009.05.19MalwareScope.Backdoor.Hupigon.3!IK
AhnLab-V35.0.0.22009.05.19-
AntiVir7.9.0.1682009.05.19TR/Crypt.CFI.Gen
Antiy-AVL2.0.3.12009.05.18Trojan/Win32.StartPage
Authentium5.1.2.42009.05.19-
Avast4.8.1335.02009.05.18-
AVG8.5.0.3362009.05.18-
BitDefender7.22009.05.19-
CAT-QuickHeal10.002009.05.15Trojan.Agent.ATV
ClamAV0.94.12009.05.19-
Comodo11572009.05.08-
DrWeb5.0.0.121822009.05.19-
eSafe7.0.17.02009.05.18Suspicious File
eTrust-Vet31.6.65092009.05.18-
F-Prot4.4.4.562009.05.18-
F-Secure8.0.14470.02009.05.19-
Fortinet3.117.0.02009.05.18-
GData192009.05.19-
IkarusT3.1.1.49.02009.05.19MalwareScope.Backdoor.Hupigon.3
K7AntiVirus7.10.7372009.05.16-
Kaspersky7.0.0.1252009.05.19-
McAfee56192009.05.18-
McAfee+Artemis56192009.05.18-
McAfee-GW-Edition6.7.62009.05.19Trojan.Crypt.CFI.Gen
Microsoft1.46022009.05.19-
NOD3240852009.05.19-
Norman6.01.052009.05.18Smalltroj.LZEA
nProtect2009.1.8.02009.05.19-
Panda10.0.0.142009.05.18Bck/Agent.LQR
PCTools4.4.2.02009.05.18-
Prevx3.02009.05.19-
Rising21.30.10.002009.05.19Trojan.Win32.Autoit.fc
Sophos4.41.02009.05.19-
Sunbelt3.2.1858.22009.05.18-
Symantec1.4.4.122009.05.19-
TheHacker6.3.4.1.3272009.05.19-
TrendMicro8.950.0.10922009.05.19-
ViRobot2009.5.19.17402009.05.19-
VirusBuster4.6.5.02009.05.18-

附加信息
File size: 325939 bytes
MD5...: 422221553bcd2e13612719068973b69a
SHA1..: f56611d1be5e7ab17b3f3a9d7997d153aabe34fc
SHA256: 1b44aa550df933bad777a956201d7d1d6a52b4d369fef4024fe2795ace8b8b93
SHA512: 7c50b7bf3b05055a414ea1a652f7fe583f434f66e053d6d87a6eec1e50e9a61b
f1bb1f08951f38dd6dd922c78d3990f2196aa7e6a80b7cceb9ab26b41358e5d5
ssdeep: 6144:PlZ/zUMu4pDSxsCMRzf7x3SfS1JAzXBtL76wf6Lss34yRwV:PHLUMuiv9Rg
fSjAzRt7fCpjU
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
TrID..: File type identification
UPX compressed Win32 Executable (43.8%)
Win32 EXE Yoda's Crypter (38.1%)
Win32 Executable Generic (12.2%)
Generic Win/DOS Executable (2.8%)
DOS Executable Generic (2.8%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0xab0e0
timedatestamp.....: 0x4951fa17 (Wed Dec 24 09:00:07 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x6b000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x6c000 0x40000 0x3f400 7.93 e946dee236b5ce856d3776cb75eea917
.rsrc 0xac000 0x5000 0x4e00 5.26 cb3d8421caed79623919b9748aef2c18

( 16 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree, ExitProcess
> ADVAPI32.dll: AddAce
> COMCTL32.dll: ImageList_Remove
> COMDLG32.dll: GetSaveFileNameW
> GDI32.dll: BitBlt
> MPR.dll: WNetGetConnectionW
> ole32.dll: CoInitialize
> OLEAUT32.dll: -
> PSAPI.DLL: EnumProcesses
> SHELL32.dll: DragFinish
> USER32.dll: GetDC
> USERENV.dll: LoadUserProfileW
> VERSION.dll: VerQueryValueW
> WININET.dll: FtpOpenFileW
> WINMM.dll: timeGetTime
> WSOCK32.dll: -

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
packers (Kaspersky): PE_Patch.UPX, UPX

packers (F-Prot): UPX

主　题： RE: 422221553bcd2e13612719068973b69a---Windows Update.exe [KLAN-30650641]
发件人： newvirus@kaspersky.com
日　期： 2009-5-19 16:33:44
Hello,

WindowsUpdate.exe_.unp - Trojan-Downloader.Win32.Agent.bydr

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Pavel Firsov
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.

文件说明符 : C:/情se发布器.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1.0.0.0
说明 : 电影播放器
版权 : 电影播放器
备注 : 电影播放器
创建时间 : 2009-2-16 19:56:51
修改时间 : 2009-2-22 3:5:32
大小 : 327051 字节 319.395 KB
MD5 : 110230c200611c32ed487b9fec1e6076
SHA1: 5481AFA2BEDD051D70F39DE1FA0060F507A0345F
CRC32: 7ac87b88

文件 _______________.exe.del 接收于 2009.05.19 08:27:22 (CET)

反病毒引擎版本最后更新扫描结果
a-squared4.0.0.1012009.05.19Trojan.AgentMB!IK
AhnLab-V35.0.0.22009.05.19-
AntiVir7.9.0.1682009.05.19TR/Crypt.CFI.Gen
Antiy-AVL2.0.3.12009.05.18-
Authentium5.1.2.42009.05.19-
Avast4.8.1335.02009.05.18Win32:Crypt-DOC
AVG8.5.0.3362009.05.18-
BitDefender7.22009.05.19Gen:Trojan.Heur.3106677233
CAT-QuickHeal10.002009.05.15Trojan.Agent.ATV
ClamAV0.94.12009.05.19-
Comodo11572009.05.08-
DrWeb5.0.0.121822009.05.19-
eSafe7.0.17.02009.05.18Suspicious File
eTrust-Vet31.6.65092009.05.18-
F-Prot4.4.4.562009.05.18-
F-Secure8.0.14470.02009.05.19-
Fortinet3.117.0.02009.05.18-
GData192009.05.19Gen:Trojan.Heur.3106677233
IkarusT3.1.1.49.02009.05.19Trojan.AgentMB
K7AntiVirus7.10.7372009.05.16-
Kaspersky7.0.0.1252009.05.19-
McAfee56192009.05.18-
McAfee+Artemis56192009.05.18-
McAfee-GW-Edition6.7.62009.05.19Trojan.Crypt.CFI.Gen
Microsoft1.46022009.05.19-
NOD3240852009.05.19-
Norman6.01.052009.05.18Smalltroj.LQVY
nProtect2009.1.8.02009.05.19-
Panda10.0.0.142009.05.18-
PCTools4.4.2.02009.05.18-
Prevx3.02009.05.19Medium Risk Malware
Rising21.30.10.002009.05.19AdWare.Win32.Undef.eko
Sophos4.41.02009.05.19-
Sunbelt3.2.1858.22009.05.18-
Symantec1.4.4.122009.05.19Downloader
TheHacker6.3.4.1.3272009.05.19-
TrendMicro8.950.0.10922009.05.19-
VBA323.12.10.52009.05.19-
ViRobot2009.5.19.17402009.05.19-
VirusBuster4.6.5.02009.05.18-

附加信息
File size: 327051 bytes
MD5...: 110230c200611c32ed487b9fec1e6076
SHA1..: 5481afa2bedd051d70f39de1fa0060f507a0345f
SHA256: f6bfe2e9e5c2a3dd29c9aa622b0c8723922a0df012b4772b7aab8721ab76a370
SHA512: 2e10bfcd2e10bf7b9e108f19205ee32b382babafcfc62c881c63e1b5b7eac0bb
7fa584f7228677d2c6029d7abd3161743a1cef31556b697d857a73c63420a269
ssdeep: 6144:plZ/zUMu4pDSxsCMRzf7x3SfS1JAzXBtL76wQ0qapLibDi:pHLUMuiv9Rgf
SjAzRt74bW
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
TrID..: File type identification
UPX compressed Win32 Executable (43.8%)
Win32 EXE Yoda's Crypter (38.1%)
Win32 Executable Generic (12.2%)
Generic Win/DOS Executable (2.8%)
DOS Executable Generic (2.8%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0xae0e0
timedatestamp.....: 0x4951fa17 (Wed Dec 24 09:00:07 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x6e000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x6f000 0x40000 0x3f400 7.93 1de6866c729aedc69f7e1b0f019b0210
.rsrc 0xaf000 0x8000 0x7600 5.78 e127ca9f0d06f723c60cb7833d91f99a

( 16 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree, ExitProcess
> ADVAPI32.dll: AddAce
> COMCTL32.dll: ImageList_Remove
> COMDLG32.dll: GetSaveFileNameW
> GDI32.dll: BitBlt
> MPR.dll: WNetGetConnectionW
> ole32.dll: CoInitialize
> OLEAUT32.dll: -
> PSAPI.DLL: EnumProcesses
> SHELL32.dll: DragFinish
> USER32.dll: GetDC
> USERENV.dll: LoadUserProfileW
> VERSION.dll: VerQueryValueW
> WININET.dll: FtpOpenFileW
> WINMM.dll: timeGetTime
> WSOCK32.dll: -

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
packers (Kaspersky): PE_Patch.UPX, UPX
<a href='http://info.prevx.com/aboutprogramtext.asp?PX5=BD2396B38BD33D88FDA604CBF58D55006644A0D9' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=BD2396B38BD33D88FDA604CBF58D55006644A0D9</a>
packers (F-Prot): UPX
iteye_6637
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
SELinux
王涛的博客
06-27 7634
一、概览 什么是SELinux SELinux 是 Security Enhanced Linux 的缩写，字面意思是安全增强型linux 设计目的：避免资源的误用 -摘自鸟哥的linux SELinux 是由美国国家安全局 (NSA) 开发的，当初开发这玩意儿的目的是因为很多企业界发现， 通常系统出现问题的原因大部分都在於『内部员工的资源误用』所导致的，实际由外部...
电脑出现病毒提示解决办法
最新发布
m0_74972727的博客
11-11 1220
已检测: Trojan:Win32/Wacatac.A!ml 状态:已隔离 隔离的文件在不会损害设备的受限区域内。系统将自动删除它们。 日期: 2023/11/10 13:21详细信息: 这个程序很危险，而且执行来自攻击者的命令 受影响的项目: driver: haStdnetfilter file: C:WINDOWSsystem32\drivers\haStdnetfilter.sys
集成电路设计专业视频集（一）
青少年趣味编程
03-18 1万+
一、基础课程 1、大学英语 华中科技大学通信（高频）电子线路精品公开课（附课件和知识体系图） 华中科技大学通信（高频）电子线路精品公开课（附课件和知识体系图）_哔哩哔哩_bilibili 大学生英语四级口语机考操作视频 大学生英语四级口语机考操作视频_哔哩哔哩_bilibili 日常情景对话英语口语 日常情景对话英语口语_哔哩哔哩_bilibili 《中国人民大学英语口语能力标准》实施系列讲座——英语语音基础与朗读技巧 《中国人民大学英语口语能力标准》实施系列讲座——英语语音基
某县农业网被挂马 Trojan.Win32.KillAV.bca/Trojan-Downloader.Win32.Geral.ix
Purpleendurer@CSDN
05-05 3091
某县农业网被挂马 Trojan.Win32.KillAV.bca/Trojan-Downloader.Win32.Geral.ix endurer 原创2009-05-05 第1版 打开某县农业网，Maxthon提示要安装ActiveX控件。 检查网页代码，发现：/---＜script src=hxxp://***.w**vg0**.cn＞＜/script＞---/#1
如何从Windows中删除Wacatac.B!ml木马？
IT界那些事儿
06-24 1万+
在重置过程中，Windows将删除所有已安装的应用程序，并将所有自定义设置恢复为默认设置，但您的文件将被保持不变（如果您事先做好选择的话）。那么问题来了，它会以何种方式进入您的电脑呢？说到误报，值得一提的是，据报道，在下载压缩文件时，即便是从合法来源处下载， Windows系统有时会出现疑似Wacatac木马的警告，尤其是那些带有.RAR扩展名的文件。在过去的几天里，您是否收到过一封看似真实的电子邮件（可能是您不记得开过的货运发票），但是当您点击电子邮件中的附件时，它好像运行了一个脚本，然后突然消失了？
osx.raedbot.rar_At Risk_OSX.Raedb_linux trojan_realbasic_xraed
09-21
Cross-Platform worm-trojan (Win32 , Linux and Mac OS ) source in REALBasic , At your OWN risk .
xxx.rar_xxx video_xxx.CBp.VDO_xxx.video._视频 解压缩
09-22
视频图像的编解码，将原始图像压缩成MPEG4格式，然后在客户端解压缩显示
2020年trojan最新windows64客户端trojan-1.15.1-win.zip
04-14
2020年trojan最新windows64客户端
AxureRP 9.0.0.3714.7z
09-30
AxureRP 9.0.0.3714.7z
laravel-5.2.31.zip
05-26
laravel-5.2.31
Trojan专杀工具,用着真不错.
03-19
Trojan专杀工具,用着真不错;我在网上找了好长时间才长到的,愿意与大家一块来分享.另外,本人是教育行业的,分享一个好的英语资料下载站:http://www.51tjw.com
独家揭秘：快速排名快速暴利的黑 帽seo
p656456564545的专栏
03-04 2504
导读：这篇文章如果加一个气势磅礴的开头就完美了，这么好的文章却不适合在行业大站上发布，可惜了，作者黑 帽客雅皮士向大家普及了当今SEO行业的灰色地带：黑 客与黑 帽SEO，让大家了解不为人知的SEO另一面。  　　自从有了白帽seo，就有了黑 帽seo。黑白帽的临界点没有标准，就像好人和坏人没有评判的标准。  　　快速排名快速暴利是黑 帽seo的帮规教义，不能达到快速排名的技术不用，不
从零基础入门Linux系统
ॢ小天ꦿ᭄ﻬଓ的博客
07-30 5615
从零基础入门Linux系统 目录 第一章：Linux简介 1 一、Linux是什么 1 二、Unix和Linux的发展史 1 三、开源软件介绍 4 四、Linux的应用场景 5 第二章：Linux安装和部署 8 一、 虚拟机的安装和使用 8 二、Linux的分区相关原理 16 三、CentOS 6.8的安装流程 20 四、CentOS 7.5 的安装流程 35 五、远程管理Linux操作系统 43 第三章：给初学者的Linux服务器管理建议 44 一、学习Linux的注意事项 44 二、服务器管理建议 46
SELinux 初探
邓永坚的blog
12-03 1万+
SELinux 初探 在進入了 CentOS 5.x 之後，SELinux 已經是個非常完備的核心模組了！CentOS 5.x 提供了很多管理 SELinux 的指令與機制， 因此在整體架構上面比以前的版本要單純且容易操作管理！所以，在這一版以後，我們建議大家千萬不要關掉 SELinux 這玩意兒！ 讓我們來仔細的玩玩這傢伙吧！ 什麼是 SELinux 什麼是 S
liunx 升级ssh基础步骤
萌兔兔MMQ！！
03-16 958
赋予升级包完全权限 chmod 777 openssh 关闭selinux备份ssh配置 chmod 777 openssh sed -i “s/SELINUX=enforcing/SELINUX=disabled/g” /etc/selinux/config setenforce 0 cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config.bak ls 升级ssh rpm -Uvh openssh 升级允许root ./configure --prefix=/usr
很色，非常色，十分色，格外色，异常色，特别色，相当色，太色了！
热门推荐
coldwindflyrain的专栏
06-18 130万+
■■★●◆lightpink（浅粉红)■■★●◆pink（粉红）■■★●◆crimson（腥红）■■★●◆lavenderblush（苍白的紫罗兰红）■■★●◆palevioletred（脸红的淡紫红）■■★●◆hotpink（热情的粉红）■■★●◆mediumvioletred（适中的紫罗兰红）■■★●◆orchid（兰花紫）■■★●◆thistle（苍紫）■■★●◆plum（轻紫）■■★●◆v
openCA的安装
老吴的专栏
11-18 5596
 下载各种各样的安装程序包，可以到CPAN网站搜索：http://search.cpan.org/ 查找rpm包：http://rpmfind.net/下载putty for win32:http://www.chiark.greenend.org.uk/%7Esgtatham/putty/http://www.chiark.greenend.org.uk/~sgtatham/putty/开源项目
soso313.cn、dao234.com等劫持浏览器,tlntsvi_1547.exe、ydzyh.exe、scvhost.exe等做怪
Purpleendurer@CSDN
03-24 8857
soso313.cn、dao234.com等劫持浏览器,tlntsvi_1547.exe、ydzyh.exe、scvhost.exe等做怪 　　一位网友的电脑中了病毒，用超级巡警查杀后，每次开机进入Windows桌面后都会弹出对话框，提示找不到文件tlntsvi_1547.exe，并且桌面上有两个IE图标和360浏览器图标无法删除，IE、360、遨游浏览器均被劫持，开始菜单和快速启动项上多
Trojan-Downloader.Win32.Agent.bbb 木马手动查杀
06-09
在开始菜单中输入“regedit”打开注册表编辑器，找到以下路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，删除其中所有值名为“Trojan-Downloader.Win32.Agent.bbb”的键值。 3. 删除...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值