又一位网友中了Viking,Trojan.PSW.OnLineGames.abo,Trojan.PSW.SBoy.b等

港控/mmm° 2024-02-17 13:54 15阅读 0赞

**endurer** 原创  
2007-04-04 第**1**版

昨晚，一位网友说，他的电脑工作速度很慢，浏览网页时自动弹广告，让偶帮助检查一下。

让他先用HijackThis（可到[http://endurer.ys168.com][http_endurer.ys168.com]下载）扫描log传过来一看，估计是Viking了。

让他传了几个可疑文件过来。

同时到江民网站下载了Viking专杀工具传给网友查杀，果然清除了一些。

又将pe\_xscan、ProcView（可到[http://endurer.ys168.com][http_endurer.ys168.com]下载）、IceSword（可到[http://endurer.ys168.com][http_endurer.ys168.com]下载）传了过去。

通过在线网页分析网友传回的pe\_xscan的log，发现可疑项目：  
/===  
pe\_xscan 07-03-17 by Purple Endurer  
2007-4-3 22:38:52  
Windows XP Service Pack 2(5.1.2600)  
管理员用户组  
\[System Process\] \* 0  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/LgSy0.dll  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/Rav20.dll  
C:/WINDOWS/System32/svchost.exe \* 892  
c:/windows/system32/bxwhj.dll  
c:/program files/iesnap/navoct.dll | 2007-3-12 10:28:46  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/WINDOWS/system32/EXPLORER.EXE \* 1520 | 2006-10-25 8:32:36  
C:/WINDOWS/system32/EXPLORER.EXE | 2006-10-25 8:32:36  
C:/Program Files/Common Files/Microsoft Shared/MSINFO/NewInfo.rxk | 2007-4-3 11:44:24  
C:/WINDOWS/system32/winform.dll | 2007-4-3 11:44:26  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/LgSy0.dll  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/Rav20.dll  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
c:/windows/system32/bxwhj.dll  
C:/WINDOWS/Explorer.EXE \* 1548  
C:/PROGRA~1/WinKld/Winkld.dat | 2006-4-30 15:18:52  
C:/PROGRA~1/gxcj/hydk.nls | 2007-4-2 17:45:12  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/LgSy0.dll  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/Rav20.dll  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/Program Files/superutilbar/superutilbar.dll | 2007-3-19 9:44:48  
C:/Documents and Settings/Administrator/Application Data/Foxy/LinkMaker.dll | 2006-12-24 13:34:50  
C:/WINDOWS/VM\_STI.EXE \* 1744 | 2005-2-28 17:53:4  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/WINDOWS/system32/ctfmon.exe \* 1836  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/WINDOWS/system32/rundll32.exe \* 288  
C:/PROGRA~1/bvxe/ofkr.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/tkpw.dll | 2007-4-2 17:7:24  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/WINDOWS/system32/nvsvc32.exe \* 440 | 2005-12-10 3:6:0  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
c:/PROGRA~1/iesnap/navplay.exe \* 2204 | 2007-3-12 10:28:22  
c:/PROGRA~1/iesnap/navplay.exe | 2007-3-12 10:28:22  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/Program Files/Internet Explorer/iexplore.exe \* 1380 | 2004-8-17 20:0:0  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/Program Files/superutilbar/superutilbar.dll | 2007-3-19 9:44:48  
c:/PROGRA~1/iesnap/navpref.dll | 2007-3-12 10:28:8  
c:/PROGRA~1/iesnap/navseg.dll | 2007-3-12 10:28:12  
c:/PROGRA~1/iesnap/navneg.dll | 2007-3-12 10:28:20  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/LgSy0.dll  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/Rav20.dll  
C:/WINDOWS/system32/conime.exe \* 2764  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/Program Files/QQ2006/QQ.exe \* 5340 | 2006-5-9 17:23:22  
C:/WINDOWS/system32/baqftx.dll | 2007-4-3 11:44:26  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/LgSy0.dll  
C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/Rav20.dll  
C:/Program Files/QQ2006/TIMPlatform.exe \* 6124 | 2006-4-25 16:13:36  
c:/PROGRA~1/iesnap/navstub.dll | 2007-3-12 10:28:38  
C:/PROGRA~1/bvxe/rinu.dll | 2007-4-2 17:7:24  
C:/PROGRA~1/bvxe/wnsw.dll | 2007-4-2 17:7:24  
wsctf.exe \* 4508

F2 - REG: system.ini: UserInit=userinit.exe,EXPLORER.EXE

O2 - BHO: YDragSearch - \{62EED7C6-9F02-42f9-B634-98E2899E147B\} - C:/PROGRA~1/Yahoo!/ASSIST~1/Assist/YDRAGS~1.DLL (file missing)

O2 - BHO: 实用搜索 - \{6CFD436C-7AAD-4e50-992F-C0C87A94CAD2\} - C:/Program Files/superutilbar/superutilbar.dll

O2 - BHO: (no name) - \{7E853D72-626A-48EC-A868-BA8D5E23E045\} - (no file)

O3 - Toolbar: 实用搜索工具条2.0 - \{03465FF5-00AE-411a-9C34-960ED566EC03\} - C:/Program Files/superutilbar/superutilbar.dll

O4 - HKCR/../Run: \[BSserver\] FileKan.exe  
O4 - HKCR/../Run: \[foxy\] "C:/Program Files/摩力游下载器/Foxy.exe" -tray  
O4 - HKCR/../Run: \[EXPLORER.EXE\] EXPLORER.EXE  
O4 - HKCR/../Run: \[wsctf.exe\] wsctf.exe  
O4 - HKCR/../Run: \[5ikbi\] C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/winlog0n.exe  
O4 - HKCR/../Run: \[mq2j0v88lr8b\] C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/rundl132.exe  
O4 - HKCR/../Run: \[16jt8321q\] C:/DOCUME~1/ADMINI~1/LOCALS~1/Temp/iexpl0re.exe  
O4 - HKLM/../Run: \[ASocksrv\] SocksA.exe  
O4 - HKLM/../Run: \[BigDogPath\] C:/WINDOWS/VM\_STI.EXE Vimicro USB PC Camera (ZC0301PL)  
O4 - HKLM/../Run: \[System\] C:/Program Files/Common Files/System/Updaterun.exe  
O4 - HKLM/../Run: \[winform\] C:/WINDOWS/winform.exe  
O4 - HKLM/../Run: \[nrauax\] C:/WINDOWS/system32/baqftx.exe  
D:/autorun.inf  
/-----  
\[AutoRun\]  
open=sxs.exe  
shellexecute=sxs.exe  
shell/Auto/command=sxs.exe  
\-----/  
E:/autorun.inf  
/-----  
\[AutoRun\]  
open=sxs.exe  
shellexecute=sxs.exe  
shell/Auto/command=sxs.exe  
\-----/  
F:/autorun.inf  
/-----  
\[AutoRun\]  
open=sxs.exe  
shellexecute=sxs.exe  
shell/Auto/command=sxs.exe  
\-----/  
O8 - IE右键菜单附加项 : Foxy 下载 - res://C:/Program Files/摩力游下载器/Foxy.exe/download.htm  
O8 - IE右键菜单附加项 : Foxy 搜索 - res://C:/Program Files/摩力游下载器/Foxy.exe/search.htm  
O21 - SSODL - SysTime(88Dog.Kalendar) - \{724C75F1-B757-408D-A50A-4CF99DA35D73\} = C:/PROGRA~1/WinKld/WinKld.dll  
O21 - SSODL - hydk(Windows hydk Theme) - \{7FCA49CC-AC89-473E-98EC-A62AFBDCA32A\} = C:/PROGRA~1/gxcj/hydk.dll

O23 - 服务: SOCEESe (Indexing Data) - C:/WINDOWS/SYSTEM32/RUNDLL2000.EXE C:/WINDOWS/SYSTEM32/WBEM/CZKBM.DLL,Export 1087(自动)

O24 - \[\] - \{A6011F8F-A7F8-49AA-9ADA-49127D43138F\} = C:/Program Files/Common Files/Microsoft Shared/MSINFO/NewInfo.rxk

SHOWALL Type isn't dowrd  
===/

使用ProcView和IceSword终止进程：

C:/WINDOWS/system32/EXPLORER.EXE  
C:/WINDOWS/system32/wsctf.exe  
C:/WINDOWS/system32/algsrv.exe  
C:/WINDOWS/system32/baqftx.exe  
C:/WINDOWS/SYSTEM32/RUNDLL2000.EXE

用WinRAR删除d、e、f盘下的 autorun.inf 和 sxs.exe。在c盘下发现 tel.xls.exe。

用HijackThis修复 F2--O21，删除O23

用瑞星卡卡安全助手卸载 O24

卸载：实用搜索

重启电脑到安全模式下

删除文件：  
  
C:/Documents and Settings/Administrator/LOCALS~1/Temp/LgSy0.dll  
C:/Documents and Settings/Administrator/LOCALS~1/Temp/Rav20.dll  
C:/Documents and Settings/Administrator/LOCALS~1/Temp/winlog0n.exe  
C:/Documents and Settings/Administrator/Temp/rundl132.exe  
C:/Documents and Settings/Administrator/Temp/iexpl0re.exe  
C:/Program Files/Common Files/Microsoft Shared/MSINFO/NewInfo.rxk  
C:/Program Files/Common Files/System/Updaterun.exe  
C:/WINDOWS/system32/baqftx.dll  
C:/WINDOWS/system32/baqftx.exe  
c:/windows/system32/bxwhj.dll  
c:/windows/system32/EXPLORER.EXE  
C:/WINDOWS/SYSTEM32/RUNDLL2000.EXE C:/WINDOWS/SYSTEM32/WBEM/CZKBM.DLL  
C:/WINDOWS/winform.exe  
C:/WINDOWS/system32/winform.dll  
c:/windows/system32/wsctf.dll  
c:/windows/system32/wsctf.exe  
C:/WINDOWS/SYSTEM32/WBEM/CZKBM.DLL  
FileKan.exe(一般是在C:/WINDOWS/system32下)  
SocksA.exe(一般是在C:/WINDOWS/system32下)

删除文件夹：  
C:/Documents and Settings/Administrator/Application Data/Foxy  
c:/program files/bvxe  
c:/program files/gxcj  
c:/program files/iesnap  
c:/program files/WinKld  
C:/Program Files/superutilbar

用开始-->程序-->附件-->系统工具-->磁盘清理 来清理C盘

用WinRAR 清空 c:/windows/prefetch

参考：【系统修复系列之】如何 显示所有的文件和文件夹  
[http://endurer.blogchina.com/2590659.html][http_endurer.blogchina.com_2590659.html]  
来修复：SHOWALL Type isn't dowrd

文件说明符 : D:/test/sxs.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 23:25:37  
修改时间 : 2007-4-3 23:26:3  
访问时间 : 2007-4-4 20:49:25  
大小 : 37725 字节 36.861 KB  
MD5 : 25f7ddf928dcb04b51987d7e4bdde809

baqftx.exe与此相同。

Kaspersky 报为 **Trojan-PSW.Win32.QQPass.se**，瑞星 报为 **Trojan.PSW.QQPass.rdr**

文件说明符 : D:/test/tel.xls.exe  
属性 : A---  
语言 : 中文(中国)  
文件版本 : 2.00  
说明 :  
版权 :  
备注 :  
产品版本 : 2.00  
产品名称 : FireWall Files  
公司名称 : Microsoft Corp.  
合法商标 :  
内部名称 : test  
源文件名 : test.exe  
创建时间 : 2007-4-3 23:20:40  
修改时间 : 2007-4-3 23:20:52  
访问时间 : 2007-4-4 20:49:54  
大小 : 69632 字节 68.0 KB  
MD5 : 40dbf5d5f83400a1901b9a7f8d294d5e  
algsrv.exe与tel.xls.exe相同。

Kaspersky 报为 **Trojan.Win32.VB.atg**，瑞星 报为 **Trojan.VB.vtj**

文件说明符 : D:/test/NewInfo.rxk  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 22:57:40  
修改时间 : 2007-4-3 22:57:45  
访问时间 : 2007-4-4 20:54:18  
大小 : 27301 字节 26.677 KB  
MD5 : 69e32435d00cff4f8ca09059e5dc6bfc

Kaspersky 报为 **Trojan-PSW.Win32.Delf.qc**，瑞星 报为 **Trojan.PSW.Liumazi.kr**

文件说明符 : D:/test/wsctf.exe  
属性 : A---  
语言 : 中文(中国)  
文件版本 : 5.2600.2180  
说明 : Generic Host service for Win32 Services  
版权 : (C) Microsoft Corporation. All rights reserved.  
备注 : Generic Host service for Win32 Services  
产品版本 : 5.2600.2180  
产品名称 : Microsoft Windows Operating System  
公司名称 : Microsoft Corporation  
合法商标 :  
内部名称 : wsctf  
源文件名 : wsctf.exe  
创建时间 : 2007-4-3 22:14:24  
修改时间 : 2007-4-3 22:14:28  
访问时间 : 2007-4-4 20:58:20  
大小 : 24576 字节 24.0 KB  
MD5 : cbdcf0ab0561540891a3e466147a4ce4

Kaspersky 报为 **Virus.Win32.VB.bu**，瑞星 报为 **Trojan.PSW.SBoy.b**

文件说明符 : D:/test/winform.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 22:14:3  
修改时间 : 2007-4-3 22:14:15  
访问时间 : 2007-4-4 21:2:17  
大小 : 17920 字节 17.512 KB  
MD5 : 72cf3bc3a233ec373303de7a81dd4051

Kaspersky 报为 **Trojan-PSW.Win32.OnLineGames.es**，瑞星 报为 **Trojan.PSW.OnlineGames.aas**

文件说明符 : D:/test/winlog0n.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 22:11:55  
修改时间 : 2007-4-3 22:13:8  
访问时间 : 2007-4-4 21:5:10  
大小 : 33690 字节 32.922 KB  
MD5 : 4cb1851156c0b3f6dda4092462f57222

Kaspersky 报为 **Trojan-PSW.Win32.OnLineGames.kw**，瑞星 报为 **Trojan.PSW.OnLineGames.abo**

文件说明符 : D:/test/iexpl0re.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 22:12:59  
修改时间 : 2007-4-3 22:13:17  
访问时间 : 2007-4-4 21:6:58  
大小 : 52736 字节 51.512 KB  
MD5 : 05366f5d07a2a45b3d076f4a27f21a74

文件说明符 : D:/test/rundl132.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 22:9:56  
修改时间 : 2007-4-3 22:12:10  
访问时间 : 2007-4-4 21:16:20  
大小 : 33244 字节 32.476 KB  
MD5 : dfd16dbc703e1359c22dffaf91251738

文件说明符 : D:/test/Updaterun.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-4-3 22:32:4  
修改时间 : 2007-4-3 22:32:16  
访问时间 : 2007-4-4 21:28:56  
大小 : 36864 字节 36.0 KB  
MD5 : 42d61fba39892131e0c81472d291bc61

[http_endurer.ys168.com]: http://endurer.ys168.com
[http_endurer.blogchina.com_2590659.html]: http://endurer.blogchina.com/2590659.html