又遇劫持浏览器的Trojan.StartPage.tns/nwlnksipx.sys

柔光的暖阳◎ 2024-02-17 13:55 17阅读 0赞

**endurer** 原创  
2007-05-07 第**1**版

昨天一位朋友说他的电脑查杀出了病毒，让偶帮助看看。

下载了 pe\_xscan 扫描 log 并分析，发现如下可疑项：

pe\_xscan 07-03-17 by Purple Endurer  
2007-5-6 10:35:46  
Windows XP Service Pack 2(5.1.2600)  
管理员用户组

O2 - BHO IEObject Class - \{5F5422F7-7159-4CB6-BE7D-2C7EED492762\} - C:/PROGRA~1/COMMON~1/yehoo/yehoo.dll

O4 - Global Startup: -20676.lnk -> C:/WINDOWS/system32/-20676.exe  
O4 - Global Startup: -20844.lnk -> C:/WINDOWS/system32/-20844.exe  
O4 - Global Startup: rdgjhd.lnk -> C:/WINDOWS/system32/rdgjhdi.exe

O23 - 服务: nwlnksipx (nwlnksipx) - C:/WINDOWS/system32/drivers/nwlnksipx.sys(自动)

用 HijackThis 和 瑞星卡卡安全助手修复，再用auto\_del 在下次启动时删除 nwlnksipx.sys。

这个东东曾在 遭遇万能搜索(WANSO,Trojan.AdPlayer.a)等 中遇到过。

文件说明符 : c:/windows/system32/drivers/nwlnksipx.sys  
属性 : A---  
语言 : 英语(美国)  
文件版本 : 5.1.2600.80  
说明 : NWLINK2 SIPX Protocol Driver  
版权 : Microsoft Corporation. All rights reserved.  
备注 :  
产品版本 : 5.1.2600.80  
产品名称 : Microsoft Windows Operating System  
公司名称 : Microsoft Corporation  
合法商标 :  
内部名称 : nwlnksipx.sys  
源文件名 : nwlnksipx.sys  
创建时间 : 2004-8-17 20:0:0  
修改时间 : 2004-8-17 20:0:0  
访问时间 : 2007-5-6 10:32:30  
大小 : 6144 字节 6.0 KB  
MD5 : cbb860ee6715a2a968d19d0cd5eaaa7e

Kaspersky 报为 **Trojan.Win32.StartPage.amo**，瑞星 报为 **Trojan.StartPage.tns**。

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong><font>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">nwlnksipx.sys <font>- Infected </font></span></font></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font><font>nwlnksipx.sys - infected by </font><a href="http://www.viruslist.com/en/find?words=Trojan.Win32.StartPage.amo" rel="nofollow"><font>Trojan.Win32.StartPage.amo</font></a><font> </font></font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px"><font>Statistics:</font></h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right"><font>Known viruses:</font></td> 
       <td align="left"><font>315008</font></td> 
       <td align="right"><font>Updated:</font></td> 
       <td align="left"><font>07-05-2007</font></td> 
      </tr> 
      <tr> 
       <td align="right"><font>File size (Kb):</font></td> 
       <td align="left"><font>6</font></td> 
       <td align="right"><font>Virus bodies:</font></td> 
       <td align="left"><font>1</font></td> 
      </tr> 
      <tr> 
       <td align="right"><font>Files:</font></td> 
       <td align="left"><font>1</font></td> 
       <td align="right"><font>Warnings:</font></td> 
       <td align="left"><font>0</font></td> 
      </tr> 
      <tr> 
       <td align="right"><font>Archives:</font></td> 
       <td align="left"><font>0</font></td> 
       <td align="right"><font>Suspicious:</font></td> 
       <td align="left"><font>0</font></td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>