fzzloy.dll病毒

今天偶遇fzzloy.dll病毒，百度、Google了一下均无任何结果，遂开此博文描述偶的遭遇。

 

症状：电脑不停的往外发送数据包。使用QQ时巨慢无比。

 

分析：使用arp -a，发现ARP列表很庞大，显然电脑在不停发送ARP数据包，有中毒迹象。使用360杀毒软件没有发现异常，遂转向NOD32。NOD32的杀毒引擎很快就表现出了不凡的身手，在内存中发现了c:/windows/system32/fzzloy.dll Win32蠕虫病毒。灭之！提示该文件正在使用，需重启机器后删除。吾重启之...

 

重启电脑后，再次扫描内存...晕，居然还在！显然，该病毒注入了某个正在运行的进程中，该进程必定是开机启动的系统进程，病毒依附在该进程中随之启动。

 

首先尝试直接删除：del c:/windows/system32/fzzloy.dll /A/F/Q，果然如我所料：“文件正在使用中...”。现在就是要找到其宿主。

 

使用Sniffer IP Tools抓包分析，发现PID3968进程在发送数据包。在进程管理器中查看:又是这个藏污纳垢的svchost.exe。列出该进程加载的服务：

tasklist /svc

发现加载了一个secmgmt的服务，以前没见过，情况异常！在服务管理中找到了Machine Time这一项，对应的服务正是secmgmt，描述为：

“提供共同的界面和对象模式以便访问有关操作系统、设备、应用程序和服务的管理信息。如果此服务被终止，多数基于 Windows 的软件将无法正常运行。如果此服务被禁用，任何依赖它的服务将无法启动。”

马上google了一下，似乎没有什么有关的信息。该服务为自动启动类型，试图将其改为“已禁用”，结果拒绝访问。疑点越来越大了....

 

暂且不管这个服务了，先删掉病毒文件再说。终止其宿主进程PID3968(svchost.exe)，继续使用前述的删除命令，提示：“拒绝访问”。看来还有其他程序与其关联。

 

祭出宝刀Unlocker，切断它与其他程序的关联。然后用Unlocker删除，虽然没有直接删掉，但是被强制转移到了回收站。NOD32很配合的跟上了我动作，马上报告回收站发现病毒并进行了隔离。打开NOD32的隔离区，删除！这个虫虫就这样被灭了......^O^