遭遇Trojan.PSW.OnlineGames、Trojan.HiJack.a、Trojan.PSW.ZhuXian.b等

小咪咪 2024-02-17 14:01 25阅读 0赞

**endurer** 原创  
2007-06-08 第**1**版

一位网友说他的电脑最近反应速度很慢，让偶通过QQ远程协助帮忙检修。

先用msconfig检查，发现了一些可疑启劝项，把金山毒霸升级到最新后扫描系统，没有发现病毒。

到 [http://endurer.ys168.com][http_endurer.ys168.com] 下载 HijackThis 和 瑞星杀毒助手 Aide4Rav。到 [http://purpleendurer.ys168.com][http_purpleendurer.ys168.com] 下载FreeDLL、FileInfo、bat\_do。

下载 pe\_xscan 扫描 log 并分析，发现如下可疑项：  
/---  
pe\_xscan 07-06-04 by Purple Endurer  
2007-6-7 12:12:54  
Windows XP Service Pack 2(5.1.2600)  
管理员用户组

O4 - HKLM/../Run: \[jmekey\] C:/Program Files/jmesoft/hotkey.exe  
O4 - HKLM/../Run: \[wosa\] D:/TEMP/woso.exe  
O4 - HKLM/../Run: \[ztsa\] D:/TEMP/ztso.exe  
O4 - HKLM/../Run: \[mhsa\] D:/TEMP/mhso.exe  
O4 - HKLM/../Run: \[fysa\] D:/TEMP/fyso.exe  
O4 - HKLM/../Run: \[jtsa\] D:/TEMP/jtso.exe  
O4 - HKLM/../Run: \[wlsa\] D:/TEMP/wlso.exe  
O4 - HKLM/../Run: \[wgsa\] D:/TEMP/wgso.exe  
O4 - HKLM/../Run: \[wmsa\] D:/TEMP/wmso.exe  
O4 - HKLM/../Run: \[qjsa\] D:/TEMP/qjso.exe  
O4 - HKLM/../Run: \[rxsa\] D:/TEMP/rxso.exe  
O4 - HKLM/../Run: \[wdsa\] D:/TEMP/wdso.exe  
O4 - HKLM/../Run: \[tlsa\] D:/TEMP/tlso.exe  
O4 - HKLM/../Run: \[dasa\] D:/TEMP/daso.exe

O24 - ShlExecHook: \[\] - \{0CD68AC9-FF63-3E61-626B-B663E62F6236\} = C:/Program Files/Internet Explorer/romdrivers.dll

O25 - InsCom: \{11716107-A10D-11cf-64CD-11115FE1CF41\} = C:/WINDOWS/system32/nwizzhuxians.exe  
\---/

还有几个很少见的服务：  
/---  
O23 - 服务: ScbkEx (StarCenter Backup Volume Filter Driver) - scdriver/ScbkEx.sys(引导)  
O23 - 服务: ScCchMgr (StarCenter Cache Manager File System Filter Driver) - scdriver/ScCchMgr.sys(引导)  
O23 - 服务: SSCFLT (SSCFLT) - scdriver/SSCFLT.SYS | Windows (R) 2000 DDK driver | 5.1.2600.1106 | File System Filter Driver | | 5.1.2600.1106 built by: WinDDK | Windows (R) 2000 DDK provider| ? | kfilter.sys | kfilter.sys(引导)  
O23 - 服务: SSCFS (SSCFS) - scdriver/sscfs.sys(引导)  
O23 - 服务: SSFltPT () - scdriver/ssfltpt.sys(引导)  
\---/

用 FileInfo 提取可疑文件信息，用 bat\_do 打包备份。

文件说明符 : D:/TEMP/daso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:48  
修改时间 : 2007-6-5 8:52:44  
访问时间 : 2007-6-7 0:0:0  
大小 : 48212 字节 47.84 KB  
MD5 : 480ae4853c16bdaf375d77a5e4a67923

文件说明符 : D:/TEMP/fyso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:14  
修改时间 : 2007-6-5 8:51:42  
访问时间 : 2007-6-7 0:0:0  
大小 : 46477 字节 45.397 KB  
MD5 : 721ab9919eaf7ebc4b249715467a0f6d

文件说明符 : D:/TEMP/jtso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:18  
修改时间 : 2007-6-5 8:51:52  
访问时间 : 2007-6-7 0:0:0  
大小 : 45975 字节 44.919 KB  
MD5 : 89ae2ed2635a9bf6da1a5cae1966020c

文件说明符 : D:/TEMP/mhso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:56:30  
修改时间 : 2007-6-7 8:54:14  
访问时间 : 2007-6-7 0:0:0  
大小 : 47759 字节 46.655 KB  
MD5 : aa508138db49999b44b061fcce3e1ffd

文件说明符 : D:/TEMP/qjso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:34  
修改时间 : 2007-6-5 8:52:16  
访问时间 : 2007-6-7 0:0:0  
大小 : 47094 字节 45.1014 KB  
MD5 : b9d2afbf5f833778491c8f088d672a8d

文件说明符 : D:/TEMP/rxso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:37  
修改时间 : 2007-6-5 8:52:20  
访问时间 : 2007-6-7 0:0:0  
大小 : 47602 字节 46.498 KB  
MD5 : 7cd3c78d9ea06913750f86e021f7580b

文件说明符 : D:/TEMP/svchost.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 15:2:44  
修改时间 : 2007-6-5 15:2:44  
访问时间 : 2007-6-7 0:0:0  
大小 : 21042 字节 20.562 KB  
MD5 : 61fd3508c867a3ee4a287011aa2e6806

文件说明符 : D:/TEMP/tlso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:44  
修改时间 : 2007-6-5 8:52:38  
访问时间 : 2007-6-7 0:0:0  
大小 : 46490 字节 45.410 KB  
MD5 : 2547f7a2b7c62d62aa023f8dc96ef5c5

文件说明符 : D:/TEMP/wdso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:41  
修改时间 : 2007-6-5 8:52:30  
访问时间 : 2007-6-7 0:0:0  
大小 : 47519 字节 46.415 KB  
MD5 : 5c7b3f93ada21b19dd3609d727da3c28

文件说明符 : D:/TEMP/wgso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:27  
修改时间 : 2007-6-5 8:52:2  
访问时间 : 2007-6-7 0:0:0  
大小 : 48550 字节 47.422 KB  
MD5 : a61024513459a001a7a8d8e6bc4f4c8a

文件说明符 : D:/TEMP/wlso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:24  
修改时间 : 2007-6-5 8:51:58  
访问时间 : 2007-6-7 0:0:0  
大小 : 47072 字节 45.992 KB  
MD5 : 7e3e5b0e79f25312da06b7621c6fc37f

文件说明符 : D:/TEMP/wmso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:31  
修改时间 : 2007-6-5 8:52:8  
访问时间 : 2007-6-7 0:0:0  
大小 : 47399 字节 46.295 KB  
MD5 : 3bf25a0fee7423554239673bad34e9ec

文件说明符 : D:/TEMP/ztso.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:5  
修改时间 : 2007-6-7 8:54:10  
访问时间 : 2007-6-7 0:0:0  
大小 : 48567 字节 47.439 KB  
MD5 : e6a0a92d705dc01815416501efe39bb6

文件说明符 : D:/TEMP/daso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:58:4  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 25852 字节 25.252 KB  
MD5 : 81a21192e1b6de5599265a2bcfa820cf

文件说明符 : D:/TEMP/daso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:43  
修改时间 : 2007-6-5 8:52:44  
访问时间 : 2007-6-7 0:0:0  
大小 : 25852 字节 25.252 KB  
MD5 : 81a21192e1b6de5599265a2bcfa820cf

文件说明符 : D:/TEMP/fyso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:56:41  
修改时间 : 2007-6-7 8:53:4  
访问时间 : 2007-6-7 0:0:0  
大小 : 24488 字节 23.936 KB  
MD5 : 5b687d620cd82a7fe60feb1e4719e2f4

文件说明符 : D:/TEMP/fyso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:51:40  
修改时间 : 2007-6-5 8:51:42  
访问时间 : 2007-6-7 0:0:0  
大小 : 24488 字节 23.936 KB  
MD5 : 5b687d620cd82a7fe60feb1e4719e2f4

文件说明符 : D:/TEMP/jtso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:56:52  
修改时间 : 2007-6-7 8:53:4  
访问时间 : 2007-6-7 0:0:0  
大小 : 24224 字节 23.672 KB  
MD5 : 8fc80025516852e0b2c42561cc48e308

文件说明符 : D:/TEMP/jtso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:51:50  
修改时间 : 2007-6-5 8:51:52  
访问时间 : 2007-6-7 0:0:0  
大小 : 24224 字节 23.672 KB  
MD5 : 8fc80025516852e0b2c42561cc48e308

文件说明符 : D:/TEMP/mhso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 14:50:17  
修改时间 : 2007-6-7 8:53:4  
访问时间 : 2007-6-7 0:0:0  
大小 : 25084 字节 24.508 KB  
MD5 : 0d423d28cd513c606c8f95de5aaf22c3

文件说明符 : D:/TEMP/mhso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-1 8:49:9  
修改时间 : 2007-6-7 8:54:14  
访问时间 : 2007-6-7 0:0:0  
大小 : 25992 字节 25.392 KB  
MD5 : 816b0329cae3aec7edad6d11a02509e2

Kaspersky 报为 **Trojan-PSW.Win32.OnLineGames.wm**，瑞星报为 **Trojan.PSW.OnlineGames.byp**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">wmso1.dll <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>wmso1.dll - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.wm" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.wm</font></a> </font></strong></td> 
  </tr> 
 </tbody> 
</table>

文件说明符 : D:/TEMP/qjso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:57:27  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 24880 字节 24.304 KB  
MD5 : 72aa75a5b12d6c5fada3bb6aa9df7266

文件说明符 : D:/TEMP/qjso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:14  
修改时间 : 2007-6-5 8:52:16  
访问时间 : 2007-6-7 0:0:0  
大小 : 24880 字节 24.304 KB  
MD5 : 72aa75a5b12d6c5fada3bb6aa9df7266

文件说明符 : D:/TEMP/rxso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:57:36  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 25404 字节 24.828 KB  
MD5 : babdf17c5b8c3a3b27ab374eb3f0ef3e

文件说明符 : D:/TEMP/rxso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:19  
修改时间 : 2007-6-5 8:52:20  
访问时间 : 2007-6-7 0:0:0  
大小 : 25404 字节 24.828 KB  
MD5 : babdf17c5b8c3a3b27ab374eb3f0ef3e

文件说明符 : D:/TEMP/tlso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:57:56  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 24476 字节 23.924 KB  
MD5 : 884d962ed4ae67ee0a001dd48286a3af

文件说明符 : D:/TEMP/tlso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:37  
修改时间 : 2007-6-5 8:52:38  
访问时间 : 2007-6-7 0:0:0  
大小 : 24476 字节 23.924 KB  
MD5 : 884d962ed4ae67ee0a001dd48286a3af

文件说明符 : D:/TEMP/wdso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:57:44  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 25796 字节 25.196 KB  
MD5 : 8a4b75b5d80a87ac6815cc02597eb744

文件说明符 : D:/TEMP/wdso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:28  
修改时间 : 2007-6-5 8:52:30  
访问时间 : 2007-6-7 0:0:0  
大小 : 25796 字节 25.196 KB  
MD5 : 8a4b75b5d80a87ac6815cc02597eb744

文件说明符 : D:/TEMP/wgso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:57:11  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 26092 字节 25.492 KB  
MD5 : 29c35c07138b37b0220ee29fdc611f5c

文件说明符 : D:/TEMP/wgso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:1  
修改时间 : 2007-6-5 8:52:2  
访问时间 : 2007-6-7 0:0:0  
大小 : 26092 字节 25.492 KB  
MD5 : 29c35c07138b37b0220ee29fdc611f5c

Kaspersky报为 **Trojan-PSW.Win32.OnLineGames.wm**，瑞星报为 **Trojan.PSW.WorldOnline.hi**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">wgso1.dll <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>wgso1.dll - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.wm" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.wm</font></a> </font></strong></td> 
  </tr> 
 </tbody> 
</table>

文件说明符 : D:/TEMP/wlso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:57:4  
修改时间 : 2007-6-7 8:53:4  
访问时间 : 2007-6-7 0:0:0  
大小 : 25260 字节 24.684 KB  
MD5 : 1e8d065df44d02ec13b7101676ea3f05

文件说明符 : D:/TEMP/wlso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:51:57  
修改时间 : 2007-6-5 8:51:58  
访问时间 : 2007-6-7 0:0:0  
大小 : 25260 字节 24.684 KB  
MD5 : 1e8d065df44d02ec13b7101676ea3f05

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.wm**，瑞星报为 **Trojan.PSW.OnlineGames.byp**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">wlso1.dll <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>wlso1.dll - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.wm" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.wm</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">341287</td> 
       <td align="right">Updated:</td> 
       <td align="left">08-06-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">25</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

文件说明符 : D:/TEMP/wmso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 15:1:41  
修改时间 : 2007-6-7 8:53:6  
访问时间 : 2007-6-7 0:0:0  
大小 : 26312 字节 25.712 KB  
MD5 : acb51f2ddcdbcba5939066a5eca01046

文件说明符 : D:/TEMP/wmso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:6  
修改时间 : 2007-6-5 8:52:8  
访问时间 : 2007-6-7 0:0:0  
大小 : 26312 字节 25.712 KB  
MD5 : acb51f2ddcdbcba5939066a5eca01046

文件说明符 : D:/TEMP/woso0.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-30 16:56:12  
修改时间 : 2007-6-5 15:1:42  
访问时间 : 2007-6-7 0:0:0  
大小 : 25396 字节 24.820 KB  
MD5 : a1e35422d39f5dcb1eda8bbe272734bb

Kaspersky 报为 **Trojan-PSW.Win32.OnLineGames.wm**，瑞星报为 **Trojan.PSW.OnlineGames.byp**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">woso0.dll <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>woso0.dll - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.wm" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.wm</font></a></font></strong></td> 
  </tr> 
 </tbody> 
</table>

文件说明符 : D:/TEMP/ztso1.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:51:26  
修改时间 : 2007-6-7 8:54:10  
访问时间 : 2007-6-7 0:0:0  
大小 : 26008 字节 25.408 KB  
MD5 : c245fb08688ca0d6dbd894fde6d88b03

文件说明符 : C:/Program Files/Internet Explorer/romdrivers.dll  
属性 : ASH-  
语言 : 中文(中国)  
文件版本 : 1. 0. 0. 1  
说明 : Microsoft Corporation Windows DLL  
版权 : Copyright (C) 2006.6  
备注 :  
产品版本 : 5.00.1.0.1  
产品名称 : Microsoft(R) Windows (R) System  
公司名称 : Microsoft Corporation  
合法商标 :  
内部名称 : System  
源文件名 : System.dll  
创建时间 : 2007-5-30 16:54:49  
修改时间 : 2007-6-7 8:53:4  
访问时间 : 2007-6-7 0:0:0  
大小 : 14386 字节 14.50 KB  
MD5 : 27ada10e906d7e92ca525a98136e35bf

Kaspersky 报为 **Trojan-Downloader.Win32.Agent.bmo**，瑞星报为 **Trojan.HiJack.a**

文件说明符 : C:/WINDOWS/system32/nwizzhuxians.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:49  
修改时间 : 2007-6-5 8:52:50  
访问时间 : 2007-6-7 0:0:0  
大小 : 46410 字节 45.330 KB  
MD5 : ecab450a48dab9ce443c55e0788695ad

瑞星报为 Trojan.PSW.ZhuXian.b

文件说明符 : C:/WINDOWS/system32/nwizzhuxians.dll  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-5 8:52:50  
修改时间 : 2007-6-5 15:1:40  
访问时间 : 2007-6-7 0:0:0  
大小 : 25444 字节 24.868 KB  
MD5 : 66a8a426a3ee111b2457c74b31391255

Kapsersky 报为 **Trojan-PSW.Win32.OnLineGames.kx**，瑞星报为 **Trojan.PSW.ZhuXian.b**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">nwizzhuxians.dll <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>nwizzhuxians.dll - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.kx" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.kx</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">341287</td> 
       <td align="right">Updated:</td> 
       <td align="left">08-06-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">25</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

运行 瑞星杀毒助手，使用瑞星在线免费扫描，可惜几次都是下载到一半就失败。

下载Dr.Web CureIt! 扫描，结果如下：  
============================  
Dr.Web(R) Scanner for Windows v4.33.2 (4.33.2.10067)  
Copyright (c) Igor Daniloff, 1992-2006  
Log generated on: 2007-06-07, 12:48:55 \[Administrator\]  
============================  
Engine version: 4.33 (4.33.5.10110)  
Engine API version: 2.01

C:/Program Files/Common Files/Real/CNNIC/setup-real.exe is adware program Adware.Cdn  
D:/TEMP/jtso0.dll infected with **Trojan.PWS.Gamania** \- will be cured after reboot  
D:/TEMP/tlso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/fyso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/fyso0.dll infected with **Trojan.PWS.Wsgame** \- will be cured after reboot  
D:/TEMP/wgso0.dll infected with **Trojan.PWS.Gamania** \- will be cured after reboot  
D:/TEMP/wmso0.dll infected with **Trojan.PWS.Wsgame** \- will be cured after reboot  
D:/TEMP/wlso0.dll infected with **Trojan.PWS.Wsgame** \- will be cured after reboot  
D:/TEMP/rxso0.dll infected with **Trojan.PWS.Gamania** \- will be cured after reboot  
D:/TEMP/qjso0.dll infected with **Trojan.PWS.Wsgame** \- will be cured after reboot  
D:/TEMP/wdso0.dll infected with **Trojan.PWS.Gamania** \- will be cured after reboot  
D:/TEMP/tlso0.dll infected with **Trojan.PWS.Wsgame** \- will be cured after reboot  
D:/TEMP/daso0.dll infected with **Trojan.PWS.Lineage** \- will be cured after reboot  
D:/TEMP/jtso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/wlso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/wgso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/wmso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/qjso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/rxso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/wdso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/mhso0.dll infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/daso.exe infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/qjso1.dll infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/fyso1.dll infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/jtso1.dll infected with **Trojan.PWS.Gamania** \- deleted  
D:/TEMP/rxso1.dll infected with **Trojan.PWS.Gamania** \- deleted  
D:/TEMP/wdso1.dll infected with **Trojan.PWS.Gamania** \- deleted  
D:/TEMP/tlso1.dll infected with **Trojan.PWS.Wsgame** \- deleted  
D:/TEMP/daso1.dll infected with **Trojan.PWS.Lineage** \- deleted

jtso0.dll等由于注入了其它进程，Dr.WebCureIt 不能立即清除它们。

![o_FreeDLL_200.0.0001Beta1.jpg][]

用FreeDLL 将 jtso0.dll等 从所有进程卸载掉，只剩进程0中的了，到 [http://endurer.ys168.com][http_endurer.ys168.com] 下载 IceSword来卸载，然后可以直接删除了。

下载安装瑞星卡卡安全助手，扫描并清除了一个流氓软件，卸载了 O24项，取消了O25项。  
O4 项 用 HijackThis 修复。

[http_endurer.ys168.com]: http://endurer.ys168.com/
[http_purpleendurer.ys168.com]: http://purpleendurer.ys168.com/
[o_FreeDLL_200.0.0001Beta1.jpg]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/569a7f5b5d7f4693804d90495b113253.png