电脑开机自动装垃圾软件，原来中了Adware：usbadmi.sys

ゞ浴缸里的玫瑰 2024-02-17 15:45 13阅读 0赞

一位朋友的电脑最近出现异常情况，开机进入桌面后会自动安装 7k7k游戏、淘宝网、开心小工具、折子购物、爱奇艺之类乱七八糟的东东，卸载后下次开机又出来。

电脑中安装的电脑管家在开机时会提示svchost.exe试图自动修改IE主页，已拦截。

![SouthEast][]

随后系统不断弹出错误提示框：

Unable to write to C:\\Users\\Public\\Desktop\\InterNet Explorer.url

![SouthEast 1][]

直到Stack orerflow，系统弹出新的错误提示框：

Windows服务主进程已停止工作。出现了一个问题，出现一个问题，导致程序停止正常工作，请关闭该程序。

![SouthEast 2][]

用电脑管家体检修复，仍然没有解决问题。

![SouthEast 3][]

用pe\_xscan扫描，发现有如下可疑启动项：

pe\_xscan 11-03-17 by Purple Endurer  
2015-3-23 20:45:0  
Windows Windows 7 Service Pack 1(6.1.7601)  
MSIE:9.11.9600.17691  
管理员用户组  
正常模式

O4 - HKLM\\..\\run: \[zpmc\] rundll32 C:\\Windows\\Web\\Wallpaper\\B0C2FE~1.DLL Start

O23 - 服务: usbadmi (usbadmi) - C:\\Windows\\System32\\Drivers\\usbadmi.sys |$X(系统)

用WinRAR检查C:\\Windows\\Web\\Wallpaper文件夹，没有发现B0C2FE~1.DLL，只有一个名为b0c2fe7b4751a9b83f249894bc8ad051.jpg的文件。

![SouthEast 4][]

文件说明符 : C:\\Windows\\Web\\Wallpaper\\b0c2fe7b4751a9b83f249894bc8ad051.jpg  
属性 : A---  
数字签名 : 否  
PE文件 : 否  
创建时间 : 2015-3-26 21:26:8  
修改时间 : 2015-3-26 21:26:8  
大小 : 1840221 字节 1.773 MB  
MD5 : 65b2e6af96852d3b28331a3e438a0496  
SHA1: 4BDDA68F499911E6B30B6265860FC5B32F74F42C  
CRC32: 57834f92

居然有近1.8 MB，用IrfanView打开：

![SouthEast 5][]

像素才是205×629×24 BPI，明显不匹配。

在C:\\Windows\\Web\\Wallpaper下创建一个名为B0C2FE~1.DLL的文件夹，设置只读、系统、隐藏属性。

结果随后在关机和开机时会弹出错误提示框：

启动 C:\\Windows\\Web\\Wallpaper\\B0C2FE~1.DLL 时出现问题，拒绝访问。

![SouthEast 6][]

文件说明符 : c:\\windows\\system32\\drivers\\usbadmi.sys  
属性 : A---  
数字签名:Beijing fun Ecommerce Co., Ltd  
PE文件 : 是  
获取文件版本信息大小失败!  
创建时间 : 2015-3-22 10:29:40  
修改时间 : 2015-3-22 10:33:23  
大小 : 330544 字节 322.816 KB  
MD5 : e9196f934afa3a911233aadf6093f1da  
SHA1: B8C0318A4847B3DBB6B39961E02244024BBA81BD  
CRC32: 9dade4c8

上传多杀毒引擎扫描结果[http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd][http_r.virscan.org_report_0c4d5ed3f4cd9464612dc5cdbb2a92dd]

扫描结果

<table> 
 <tbody> 
 <tr> 
 <td> 
 <table style="BORDER-BOTTOM-STYLE: none; BORDER-LEFT-STYLE: none; BORDER-TOP-STYLE: none; HEIGHT: 48px; BORDER-RIGHT-STYLE: none"> 
 <tbody> 
 <tr> 
 <td><img alt="warn" src="http://img.virscan.org/images/warn/3.gif"></td> 
 <td style="TEXT-ALIGN: left; WIDTH: 80px; COLOR: #fd6400; FONT-SIZE: 24px; FONT-WEIGHT: bold">警惕</td> 
 <td>此文件有2个引擎报毒，是病毒的可能性较高，如果没有必要尽量不要打开或者运行。</td> 
 </tr> 
 </tbody> 
 </table></td> 
 </tr> 
 <tr> 
 <td>扫描结果:5%的杀软(2/39)报告发现病毒</td> 
 </tr> 
 <tr> 
 <td>时间: 2015-03-27 00:33:15 (CST)</td> 
 </tr> 
 <tr> 
 <td> 
 <div style="PADDING-LEFT: 10px"> 
 <a href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到QQ空间" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到新浪微博" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到腾讯微博" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到人人网" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到微信" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到百度贴吧" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 <a title="分享到百度空间" href="http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd#" rel="nofollow"></a> 
 </div></td> 
 </tr> 
 </tbody> 
</table>

![VirSCAN][] ![VirSCAN][VirSCAN 1]

<table> 
 <thead> 
 <tr> 
 <th>软件名称</th> 
 <th>引擎版本</th> 
 <th>病毒库版本</th> 
 <th>病毒库时间</th> 
 <th>扫描结果</th> 
 <th title="Asia/Chongqing(GMT +0800)">扫描耗时</th> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td>ANTIVIR</td> 
 <td>1.9.2.0</td> 
 <td>1.9.159.0</td> 
 <td>7.11.219.114</td> 
 <td>没有发现病毒</td> 
 <td>16</td> 
 </tr> 
 <tr> 
 <td>AVAST!</td> 
 <td>150226-0</td> 
 <td>4.7.4</td> 
 <td>2015-02-26</td> 
 <td>没有发现病毒</td> 
 <td>31</td> 
 </tr> 
 <tr> 
 <td>AVG</td> 
 <td>2109/8526</td> 
 <td>10.0.1405</td> 
 <td>2015-01-30</td> 
 <td>没有发现病毒</td> 
 <td>6</td> 
 </tr> 
 <tr> 
 <td>ArcaVir</td> 
 <td>1.0</td> 
 <td>2011</td> 
 <td>2014-05-30</td> 
 <td>没有发现病毒</td> 
 <td>8</td> 
 </tr> 
 <tr> 
 <td>Authentium</td> 
 <td>4.6.5</td> 
 <td>5.3.14</td> 
 <td>2013-12-01</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>Baidu Antivirus</td> 
 <td>2.0.1.0</td> 
 <td>4.1.3.52192</td> 
 <td>2.0.1.0</td> 
 <td>没有发现病毒</td> 
 <td>4</td> 
 </tr> 
 <tr> 
 <td>Bitdefender</td> 
 <td>7.58879</td> 
 <td>7.90123</td> 
 <td>2015-01-16</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>ClamAV</td> 
 <td>20239</td> 
 <td>0.97.5</td> 
 <td>2015-03-26</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>Comodo</td> 
 <td>15023</td> 
 <td>5.1</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>3</td> 
 </tr> 
 <tr> 
 <td>Dr.Web</td> 
 <td>5.0.2.3300</td> 
 <td>5.0.1.1</td> 
 <td>2015-01-23</td> 
 <td>没有发现病毒</td> 
 <td>31</td> 
 </tr> 
 <tr> 
 <td>F-PROT</td> 
 <td>4.6.2.117</td> 
 <td>6.5.1.5418</td> 
 <td>2015-03-24</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>F-Secure</td> 
 <td>2014-04-02-01</td> 
 <td>9.13</td> 
 <td>2014-04-02</td> 
 <td>没有发现病毒</td> 
 <td>5</td> 
 </tr> 
 <tr> 
 <td>Fortinet</td> 
 <td>25.125, 25.125</td> 
 <td>5.1.158</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>GData</td> 
 <td>25.820</td> 
 <td>25.820</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>8</td> 
 </tr> 
 <tr> 
 <td>IKARUS</td> 
 <td>1.06.01</td> 
 <td>V1.32.31.0</td> 
 <td>2015-01-30</td> 
 <td>没有发现病毒</td> 
 <td>14</td> 
 </tr> 
 <tr> 
 <td>NOD32</td> 
 <td>0801</td> 
 <td>3.0.21</td> 
 <td>2014-11-29</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>QQ手机</td> 
 <td>1.0.0.0</td> 
 <td>1.0.0.0</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>Quickheal</td> 
 <td>14.00</td> 
 <td>14.00</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>2</td> 
 </tr> 
 <tr> 
 <td>SOPHOS</td> 
 <td>5.08</td> 
 <td>3.55.0</td> 
 <td>2014-12-01</td> 
 <td>没有发现病毒</td> 
 <td>7</td> 
 </tr> 
 <tr> 
 <td>Sunbelt</td> 
 <td>3.9.2623.2</td> 
 <td>3.9.2623.2</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>TheHacker</td> 
 <td>6.8.0.5</td> 
 <td>6.8.0.5</td> 
 <td>2015-03-24</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>Vba32</td> 
 <td>3.12.26.3</td> 
 <td>3.12.26.3</td> 
 <td>2015-03-24</td> 
 <td>没有发现病毒</td> 
 <td>3</td> 
 </tr> 
 <tr> 
 <td>ViRobot</td> 
 <td>2.73</td> 
 <td>2.73</td> 
 <td>2015-01-30</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>VirusBuster</td> 
 <td>15.0.985.0</td> 
 <td>5.5.2.13</td> 
 <td>2014-12-05</td> 
 <td>没有发现病毒</td> 
 <td>15</td> 
 </tr> 
 <tr> 
 <td>a-squared</td> 
 <td>9.0.0.4453</td> 
 <td>9.0.0.4453</td> 
 <td>2014-07-03</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>nProtect</td> 
 <td>9.9.9</td> 
 <td>9.9.9</td> 
 <td>2013-12-27</td> 
 <td>没有发现病毒</td> 
 <td>3</td> 
 </tr> 
 <tr> 
 <td>卡巴斯基</td> 
 <td>5.5.33</td> 
 <td>5.5.33</td> 
 <td>2014-04-01</td> 
 <td>没有发现病毒</td> 
 <td>19</td> 
 </tr> 
 <tr> 
 <td>奇虎360</td> 
 <td>1.0.1</td> 
 <td>1.0.1</td> 
 <td>1.0.1</td> 
 <td><a href="http://v.virscan.org/Win32/Trojan.Adware.37e.html" rel="nofollow">Win32/Trojan.Adware.37e</a></td> 
 <td>13</td> 
 </tr> 
 <tr> 
 <td>安博士V3</td> 
 <td>9.9.9</td> 
 <td>9.9.9</td> 
 <td>2013-05-28</td> 
 <td>没有发现病毒</td> 
 <td>4</td> 
 </tr> 
 <tr> 
 <td>安天</td> 
 <td>AVL SDK 3.0</td> 
 <td>2014112615531100</td> 
 <td>2014-11-26</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>江民杀毒</td> 
 <td>16.0.100</td> 
 <td>1.0.0.0</td> 
 <td>2015-03-24</td> 
 <td>没有发现病毒</td> 
 <td>36</td> 
 </tr> 
 <tr> 
 <td>熊猫卫士</td> 
 <td>9.05.01</td> 
 <td>9.05.01</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>3</td> 
 </tr> 
 <tr> 
 <td>瑞星</td> 
 <td>25.59.01.04</td> 
 <td>25.59.01.04</td> 
 <td>2015-03-24</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>百度杀毒</td> 
 <td>1.0</td> 
 <td>1.0</td> 
 <td>2014-04-02</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>费尔</td> 
 <td>17.47.17308</td> 
 <td>1.0.2.2108</td> 
 <td>2015-03-25</td> 
 <td>没有发现病毒</td> 
 <td>6</td> 
 </tr> 
 <tr> 
 <td>赛门铁克</td> 
 <td>20150323.001</td> 
 <td>1.3.0.24</td> 
 <td>2015-03-23</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>趋势科技</td> 
 <td>11.558.05</td> 
 <td>9.500-1005</td> 
 <td>2015-03-24</td> 
 <td>没有发现病毒</td> 
 <td>1</td> 
 </tr> 
 <tr> 
 <td>迈克菲</td> 
 <td>7638</td> 
 <td>5400.1158</td> 
 <td>2014-11-30</td> 
 <td>没有发现病毒</td> 
 <td>7</td> 
 </tr> 
 <tr> 
 <td>金山毒霸</td> 
 <td>2.1</td> 
 <td>2.1</td> 
 <td>2013-09-22</td> 
 <td><a href="http://v.virscan.org/Win32.ADWARE.Advert.ac.%28kcloud%29.html" rel="nofollow">Win32.ADWARE.Advert.ac.(kcloud)</a></td> 
 <td>4</td> 
 </tr> 
 </tbody> 
</table>

■Heuristic/Suspicious ■Exact

注意: 就算报告发现病毒，也可能是杀软误报，请根据查毒结果自行判断

[SouthEast]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/fee109154e724fe1b9b7246c71f92a2d.png
[SouthEast 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/2321d9ee4d9c434ab007905963ac0f59.png
[SouthEast 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/aa3383401b5d4d3788cb02c56f8a426c.png
[SouthEast 3]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/0dc033e5871a41c2bf37538c0e793e0e.png
[SouthEast 4]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/9247db4f62de4412ac65f82b0fad64f7.png
[SouthEast 5]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ae3712a8b5ac47d1ada4ac44fc507233.png
[SouthEast 6]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/e17e0837d397475295604cd47f0eef45.png
[http_r.virscan.org_report_0c4d5ed3f4cd9464612dc5cdbb2a92dd]: http://r.virscan.org/report/0c4d5ed3f4cd9464612dc5cdbb2a92dd
[VirSCAN]: http://img.virscan.org/images/arrow-up.gif
[VirSCAN 1]: http://img.virscan.org/images/arrow-down.gif