Gina.DLL被破坏，无法调用winlogin登录界面

Gina.DLL被破坏，无法调用winlogin登录界面。

一、现象

1、Windows XP 在Normal和Safe Mode 下提示GinaDll文件被破坏或者提示rpcfap.dll丢失，登录UI无法正常显示。

2、利用ERD启动系统后，查找注册表[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]项，发现GinaDLL="rpcfap.dll"这个键值，删除该键值，然后重新启动，系统可以正常登录

3、再次重新启动系统，重复出现现象1的错误提示，用ERD启动后查看注册表，GinaDLL再次出现在Winlogon项里。

二、分析

   由现象3可知，病毒还没清除，利用最新的杀毒软件扫描，没发现任何病毒文件。因此推断，该病毒可能为某个病毒的变种（废话:P）。

三、排除过程

一般的木马采取几种方式来实现自启动的：

1、在系统的启动项（[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]）里面加入自己的执行地址。

2、是在系统的服务项中（
[HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services]）添加服务启动项，并把自己注册成为后台启动的服务。

3、把自己伪装成系统文件如Explorer、IExplorer、CMD、REGEDIT、Internat等等，又或者把自己伪装成为杀毒软件的文件如：RavMon、McfeeScan、McafeeEngine、McafeeVirusScan等等

4、把自己注入到系统进程里面如SVCHOST、RUNDLL32等

   可是我将系统服务、系统进程、甚至把CMD、REGEDIT等都检查过一遍了，仍然没有发现任何可疑之处。我把Gina项删除了之后，再一次打开注册表，发现刚刚清除了的Gina项又再一次出现了。在安全模式下尝试，同样出现上述情况。

   为什么我删除了Gina在注册表里的键值，会在我打开了注册表之后又再一次出现的呢？因为这个键值存在，那么系统启动时就会出错，无法显示登录界面。然而，当我删除了Gina之后，重新启动系统，系统是可以正常启动的。那说明，应该是有某个程序在监控注册表Gina的键值，而且这个程序是有条件触发的，并非实时对注册表实行监控的。

   由此，我用了一个监视软件来对注册表进行数据收集。收集到的数据如下

--------------------------------------------------------------------------

1 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
2 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
3 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
4 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
5 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
6 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
7 regedit.exe:400 EnumerateValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
8 regedit.exe:400 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
9 regedit.exe:400 DeleteValueKey HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS 
10 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
11 EXPLORER.EXE:1760 SetValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
12 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
13 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
14 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
15 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
16 regedit.exe:2252 EnumerateValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
17 regedit.exe:2252 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
18 regedit.exe:2252 DeleteValueKey HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS 
19 WINLOGON.EXE:704 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
20 WINLOGON.EXE:704 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
21 WINLOGON.EXE:704 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
22 WINLOGON.EXE:704 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
23 WINLOGON.EXE:704 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
24 EXPLORER.EXE:1760 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL NOTFOUND 
25 EXPLORER.EXE:1760 SetValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
26 regedit.exe:204 EnumerateValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
27 regedit.exe:204 QueryValue HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS "rpcfap.dll"
28 regedit.exe:204 DeleteValueKey HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/GinaDLL SUCCESS 

--------------------------------------------------------------------------

    这里我们看见，当我打开注册表或者浏览器的时候，Explorer.exe会检查注册表中Gina的值，因此，可以推定，Explorer.exe被挟持了（这一次HijackThis居然没发现.........）。

   然后让我们检查一下注册表中关于Explorer项里的数据情况，在[HEKY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/ShellExecuteHooks]这里，我发现了一个很奇怪的值，他的默认值被改为fileap.dll，而正常情况下这下面的默认键的值应该是（数值没被设定），和一个{AEB6717E-7E19-11d0-97EE-00C04FD91972}的键。那么是不是这个键中的文件就是病毒程序呢？我在命令行模式下搜索所有的fileap.*,发现了有两个文件fileap.dll和fileap.ver，备份好后，执行删除命令，系统提示文件受保护，无法删除。

   为了进一步验证，我把注册表备份一次，然后，进入安全模式。进入注册表，将所有和fileap和GinaDLL有关的键全部删除，然后重新启动系统（因为系统启动被加载到Explorer中，因此那些文件仍然是无法删除的），再次进入安全模式，这次，那些fileap的文件就可以被删除掉了。然后再检查注册表，这次GinaDll终于被彻底地赶出了系统了。

   重新启动后，系统正常。在重新启动，系统正常、进程正常、服务正常。