盗取QQ密码的顽固的IEXPLORE.EXE病毒

- 日理万妓 2022-09-18 05:47 145阅读 0赞

[![The Chronicles of Narnia 纳尼亚传奇 点击放大][The Chronicles of Narnia _]][The Chronicles of Narnia _ _The Chronicles of Narnia]

[立刻加入博客人自己的广告网][Link 1]

**现象:**

开机以后不久,在进程里面会出现多个IEXPLORE.EXE进程，用户名都是SYSTEM,杀掉进程之后，过一段时间就会重新启动这个进程。而且IEXPLORE.EXE进程的cpu占用率常常达到100%！计算机根本就无法使用。在进行拨号连网后,系统可能出现重起.甚是恼人!

此病毒自动禁用某些杀毒软件,看来全面手工杀毒的时代即将来临!

**查杀方法:**

此病毒类似灰鸽子病毒,但专杀工具无法杀除,显然是改后的变种.下面提供几种手工杀毒的方法.

1.关于usbme.sys的清除教程  
  
刚才访问网页时卡巴提示有病毒,路径是C:/WINDOWS/system32/drivers/usbme.sys的这个文件,我没删它想看看有啥效果,貌似病毒建立了进程IEXPLORER.EXE ,用户名为SYSTEM,之后陆续建立了几个为IEXPLORER.EXE 的进程,且CPU占有率达99%,害我差点死机,之后我结束了该进程查杀刚才的目录,没找到病毒源文件,我怀疑病毒仍然存在,因为IEXPLORER.EXE 进程结束之后依然能再出来,之后我用了procexp找了该进程硬盘位置,提示C:/Program Files/Internet Explorer/IEXPLORE,应该是微软的IE,运行之后没发现问题,之后又陆续结束了几次IEXPLORER.EXE 用户名为SYSTEM的进程,直到其不再出现.无病毒反映.但是在打开QQ(别的程序没试)时显示病毒C:/WINDOWS/system32/drivers/usbme.sys,且每次删完下次依然存在,此病毒进程不在开机运行里,个人认为产生IEXPLORER.EXE 进程及其他作用只是其发作的效果,病毒源文件仍未找到,估计杀毒软件应该可以清除,我想问问各位学长的看法以及病毒原理,我有说错的地方希望给予指点,还有个想问的是系统文件里是不是有个后缀为\_hook.dll的文件啊,我查的时候找到一个8K的,要么是灰鸽子?不太了解啊~~感谢大家给予指点.  
  
经过我2个小时的奋战(有点夸张的说),终于解决了问题,具体删除我是在安全模式下进行的,此病毒分为4部分,1是在注册表里HKEY\_LOCAL\_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/policies/Explorer/Run下的"9"="%System%/vpcrm.exe"(或twunk32.exe)开机运行键,删了,2是%system%/Drivers/usbme.sys这个文件,只能在DOS或安全模式下进行删除.3为QQ安装目录下的TIMPlatfrom.exe文件(上面我也提到病毒是将正常的QQ文件TIMPlatform.exe复制为TIMPlatfrom.exe,并将自身复制为正常的QQ文件)我首先修改了TIMPlatfrom.exe文件名,可惜和该目录下的文件名重复,但是我打开隐藏文件也没能看到那个病毒的文件,我只能先把被病毒修改后的原QQ文件复制到了别的地方,改名,然后再复制回来,这时我看到了可以覆盖病毒的那个25K左右的文件,覆盖后运行QQ,出现正常的TIMPlatform.exe进程.4为vpcrm.exe"(或twunk32.exe)文件,网上都说有这个文件的,我没找到,后来卡巴杀毒时找到了.  
  
2. usbme.sys木马病毒，名称：“猎手变种fa”(PSWTroj.Mir.fa)  
　　病毒特点：该病毒是一个盗取用户QQ账号的木马，通过获得QQ游戏窗口的方式获取用户账号信息并发送到指定网址。  
　　发作现象：病毒运行后，将自身复制为%system%/vpcrm.exe，并释放文件%system%/Drivers/usbme.sys。将正常的QQ文件TIMPlatform.exe复制为TIMPlatfrom.exe,并将自身复制为正常的QQ文件。  
  
改了TIMPlatform.exe进程,  
把QQ卸载以后清理注册表临时文件，杀毒后到官方去下载新QQ  
  
1、点击：“开始”、“运行”。键入regedit，按回车。清理注册表：  
（1）展开：HKEY\_CURRENT\_USER/Software/Microsoft/Windows NT/CurrentVersion/Windows  
删除："load"=""  
（2）展开：HKEY\_LOCAL\_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/policies/Explorer/Run :  
删除："twin"="X://windows//system32//twunk32.exe"  
2、重启。显示隐藏文件。  
3、删除X:/windows/system32/twunk32.exe。  
  
4、卸载QQ。重新安装。因为QQ文件夹中的TIMPlatform.exe已被病毒覆盖。

**相关文章:**

[修改权限防止病毒或木马等破坏您的系统][Link 2]

[都是自动更新惹得祸][Link 3]

[彻底查杀维金ViKing病毒][ViKing]

[通过对一个病毒源码的分析，了解VBS脚本语言的应用][VBS]

[Hooks（钩子）监听消息的方法 ][Hooks_]

[常见木马清除法][Link 4]

[The Chronicles of Narnia _]: http://www.elite-view.com/art/Movie_Poster/Oscar_Nominated_Movies/D1516~The-Chronicles-of-Narnia-Posters.jpg
[The Chronicles of Narnia _ _The Chronicles of Narnia]: http://www.elite-view.com/html/Movie_Poster/id--174524.html
[Link 1]: http://www.elite-view.com/WebAgentPoster.php?webagent=638
[Link 2]: http://blog.csdn.net/suprman/archive/2007/01/04/1473913.aspx
[Link 3]: http://blog.csdn.net/suprman/archive/2006/06/28/845098.aspx
[ViKing]: http://blog.csdn.net/suprman/archive/2006/10/10/1328169.aspx
[VBS]: http://blog.csdn.net/suprman/archive/2006/10/02/1317572.aspx
[Hooks_]: http://blog.csdn.net/suprman/archive/2006/10/28/1354535.aspx
[Link 4]: http://blog.csdn.net/suprman/archive/2006/11/09/1374972.aspx