从网站下载软件也要小心

r囧r小猫 2024-02-21 09:13 20阅读 0赞

**endurer** 原创

2006-10-17 第**1**版

昨天一位网友从某网站下载了一个绿色版的软件，双击了几次都没有什么显示，系统反应变慢，觉得不对头，重启电脑后情况依旧，于是请我帮忙看看。

打开任务管理器，发现一些可疑进程，先终止了explorer.exe，再新建任务，运行HijackThis扫描log，发现如下可疑项目：

/------------  
Logfile of HijackThis v1.99.1  
Scan saved at 20:15:37, on 2006-10-16  
Platform: Windows XP SP2 (WinNT 5.01.2600)  
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:/Program Files/Common Files/update2/Update.exe

C:/DOCUME~1/y168/LOCALS~1/Temp/~nsu.tmp/Au\_.exe

O4 - HKLM/../Run: \[Str3\] hongqt  
O4 - HKLM/../Run: \[LongData\] 焼  
O4 - HKLM/../Run: \[BinaryData\] "3D梯  
O4 - HKLM/../Run: \[Update\] C:/Program Files/Common Files/update2/Update.exe

O16 - DPF: \{5932517A-3326-4439-A708-1C98EDB5C549\} (Downloader Class) - file://C:/Documents and Settings/All Users/Application Data/Share Helper/Cast/GGS/d8f6fba154/js/iMopDl.cab

O21 - SSODL: DelayRun - \{5A6F2F95-3191-433B-8533-EB0B596A7BAC\} - C:/WINDOWS/464d7300.dll (file missing)  
\------------/

把进程：

C:/Program Files/Common Files/update2/Update.exe  
C:/DOCUME~1/y168/LOCALS~1/Temp/~nsu.tmp/Au\_.exe

终止了。

用WinRAR找到：  
C:/Documents and Settings/user/Local Settings/~nsu.tmp/Au\_.exe

查看属性，是千橡互联发的东东，汗！

发现：  
C:/Documents and Settings/user/Local Settings/Temp/RarSFX0/benben.exe

是个自解压文件，执行脚本为：  
/-------------------  
TempMode  
Silent=1  
Overwrite=1  
setup=bind\_40234.exe  
Overwrite=1  
setup=31.exe  
Overwrite=1  
setup=mp56.exe  
\-------------------/

会释放如下3个文件：

/-------------------  
2005-12-14 13:00 28,672 31.exe（www．mmwan．com开发）  
2006-09-04 20:38 37,648 mp56.exe（宏网超级搜霸在线安装程序）  
2006-10-16 12:48 20,480 bind\_40234.exe  
\-------------------/

而 C:/WINDOWS/system32/temp.EXE 是 Sogou Express Installer。

而该网友下载回来的“绿色版”软件是个名为jiekshijf.exe，长度为100多KB的文件，而那个软件正常的话文件大小应该近5MB。明显不对嘛，留心点的话会发现问题了。

这个jiekshijf.exe包含:  
/----------  
sys.exe（Kaspersky 报为 **Trojan.Win32.VB.amy**）  
bo.exe（Kaspersky 报为 **Trojan-Clicker.Win32.VB.ms** ）  
ad.exe（Kaspersky 报为 **Trojan-Clicker.Win32.VB.lc**）  
ad2.exe（Kaspersky 报为 **Trojan.Win32.VB.ms**）  
\----------/

如果运行前先用杀毒软件扫描一下，也不会这么容易中招。

都删除了。

用HijackThis修复下面所列的项目。

清空IE临时文件夹和系统临时文件夹。