强行推荐FireFox的Adware.Win32.Admoke.fg、RootKit.Win32.Mnless.ft等

caobihole

浏览: 949193 次

最近访客更多访客>>

u012363178

jerry_shen

fish119

educationAAAA

博主相关

博客

微博

相册

留言

关于我

文章分类

全部博客 (1423)

社区版块

存档分类

2013-09 ( 92)
2013-08 ( 32)
2013-07 ( 23)
更多存档...

强行推荐FireFox的Adware.Win32.Admoke.fg、RootKit.Win32.Mnless.ft等

endurer 原创
2008-01-25 第1版

前几天，一位网友说最近他的电脑中的金山毒霸天天报告发现病毒，而且IE出现与

遭遇sqmapi32.dll,kvmxfma.dll,rarjdpi.dll,google.dll,a0b1.dll等
http://blog.csdn.net/Purpleendurer/archive/2007/11/07/1871409.aspx
http://endurer.bokee.com/6522203.html
http://blog.nnsky.com/blog_view_222833.html

相似的症状，即不定期弹广告窗口，打开任意网页顶都可能出现推荐FireFox的信息，让偶帮忙检修。

先检查金山毒霸的杀毒日志，摘录一段如下：

/---
风险程序2008-01-19 14:51:36C:/WINDOWS/system32/wbem/knqtybe0.dllWin32.Adware.AdMoke.js.604672跳过，未处理
风险程序2008-01-19 14:51:36C:/WINDOWS/system32/wbem/TXAEILOTWZC.DLLWin32.Adware.MoKeADT.of.870400跳过，未处理
风险程序2008-01-19 14:51:36c:/windows/system32/azagxmbtwehqj.dllWin32.Adware.ejok.g.584192跳过，未处理
风险程序2008-01-19 14:51:36c:/windows/system32/ebbaozknpdtis.dllWin32.Adware.ejok.g.584192跳过，未处理
风险程序2008-01-19 14:51:36c:/windows/system32/OSWAEHKOS.DLLWin32.Adware.Admoke.fg.574976跳过，未处理
风险程序2008-01-19 14:51:36c:/windows/system32/rxjh_2.exeWin32.Adware.Adloader.m.106496跳过，未处理
风险程序2008-01-18 12:27:46C:/WINDOWS/system32/wbem/KNQTYBE.DLLWin32.Adware.AdMoke.js.604672跳过，未处理
风险程序2008-01-18 12:27:46C:/WINDOWS/system32/wbem/TXAEILOTWZC.DLLWin32.Adware.MoKeADT.of.870400跳过，未处理
风险程序2008-01-18 12:27:46c:/windows/system32/OSWAEHKOS.DLLWin32.Adware.Admoke.fg.574976跳过，未处理
风险程序2008-01-18 12:27:46C:/WINDOWS/system32/wbem/KNQTYBE.DLLWin32.Adware.AdMoke.js.604672操作失败
风险程序2008-01-18 12:27:46C:/WINDOWS/system32/wbem/TXAEILOTWZC.DLLWin32.Adware.MoKeADT.of.870400操作失败
风险程序2008-01-18 12:27:46c:/windows/system32/OSWAEHKOS.DLLWin32.Adware.Admoke.fg.574976操作失败
---/

同时发现网友的电脑无法进行复制/粘贴操作，晕！

先到 http://endurer.ys168.com 下载 HijackThis 来分析罢，在 HijackThis 的log中发现如下可疑项：
/---
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:19:58, on 2008-1-19
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

O2 - BHO: google Class - {CE7C3CF0-4B15-11D1-ABED-709549C10531} - C:/WINDOWS/ILOVEG~1/google.dll
O2 - BHO: (no name) - {F89D750D-BDBB-4B04-B893-F2F228138F5F} - C:/WINDOWS/system32/doqeuraqsr.dll

O4 - HKCU/../Run: [PictureShow] "d:/program files/PictureShow/poco_tools.exe" -p PictureShow
O4 - HKCU/../Run: [PICer] "d:/program files/PICer/poco_tools.exe" -p PICer

O4 - HKLM/../Policies/Explorer/Run: [zhqbdf] rundll32.exe C:/WINDOWS/system/zhqbdf080116.dll mymain
O4 - HKLM/../Policies/Explorer/Run: [zsms] rundll32.exe C:/WINDOWS/system32/mcdsrv16_080119.dll start

O18 - Filter hijack: text/html - {CF845CF8-833D-4F3E-9579-8944159650A6} - C:/WINDOWS/system32/wbem/KNQTYBE.DLL
---/

关闭所有IE和文件夹窗口，修复～

到 http://purpleendurer.ys168.com 下载 FileInfo、bat_do对log中的可疑文件、毒霸报告但未清除的病毒文件的进行信息提取、打包和延时删除。

下载 DrWeb CureIt! 扫描，又发现并清除一批恶意程序。

重启电脑后，金山毒霸还是提示发现病毒……不过复制/粘贴功能恢复正常了。

用机子中原有的360卫士扫描，又十年干掉了两个恶意程序。

下载pe_xscan 扫描了 log 并分析，发现如下可疑项：
/===
pe_xscan 08-01-19 by Purple Endurer
2008-1-20 22:45:17
Windows XP Service Pack 2(5.1.2600)
管理员用户组


C:/WINDOWS/SYSTEM32/SVCHOST.EXE* 364 
　　C:/WINDOWS/SYSTEM32/OSWAEHKOS.DLL | 2007-10-1 11:46:2 
C:/WINDOWS/SYSTEM32/SVCHOST.EXE* 1072 
　　C:/WINDOWS/SYSTEM32/WBEM/TXAEILOTWZC.DLL | 2007-9-27 23:37:46
O23 - 服务: 2HRHUZB (2HRHUZB) - SYSTEM32/DRIVERS/2HRHUZB.SYS (引导) 
O23 - 服务: DWSHD () -C:/WINDOWS/SYSTEM32/DRIVERS/DWSHD.SYS (禁用) 
O23 - 服务: NVCJRYFMT (EMVDMUCKSAIQYFO) - C:/WINDOWS/SYSTEM32/SVCHOST.EXE -K VHTFSCNXITD ->C:/WINDOWS/SYSTEM32/OSWAEHKOS.DLL | 2007-10-1 11:46:2(自动) 
O23 - 服务: TWBFJMQUYCF (YBFJNRUYBGKNS) - C:/WINDOWS/SYSTEM32/SVCHOST.EXE -K DHKOSWADHLOSXB ->C:/WINDOWS/SYSTEM32/WBEM/TXAEILOTWZC.DLL | 2007-9-27 23:37:46(自动) 
O23 - 服务: V8360NUJ1 (V8360NUJ1) - SYSTEM32/DRIVERS/V8360NUJ1.SYS (引导) 
O23 - 服务: W32TIME (WINDOWS TIME) - C:/WINDOWS/SYSTEM32/SVCHOST.EXE -K NETSVCS ->C:/WINDOWS/SYSTEM32/WBEM/KIPQNFVNX.DLL (自动)
===/

DWSHD.SYS 很可能是之前使用的 DrWeb CureIt! 释放的东东

Google了一下，在http://spywaredlls.prevx.com/RRIHDC43518690/DWSHD.SYS.html有如下说明：

Common File Name: DWSHD.SYS
Common Path: %TEMP%/RARSFX2/
Vendor Information: DrWeb Ltd.
Product Information: Dr.Web BruteForce driver
Version Information: 4.44.0.0
File Name Structure: Normal
File and Path Structure: Normal

还是用FileInfo、bat_do进行可疑文件的信息提取、打包和延时删除。

不过 2HRHUZB.SYS 无法操作，到 http://endurer.ys168.com 下载 IceSword，将它复制了一个打包备份后强制删除。

到 http://endurer.ys168.com 下载瑞星杀毒助手Aide4Rav，使用瑞星在线免费扫描，结果如下：

2008-1-21 21:39:24　瑞星杀毒助手
Windows XP Service Pack 2(5.1.2600)
文件名 病毒名
c:/windows/winudmp32.txt>>Aspack212r AdWare.Win32.Admoke.wcf
C:/WINDOWS/my_70338.exe Trojan.DL.Win32.Mnless.qp
C:/WINDOWS/tempaq Trojan.Win32.Undef.bpj
C:/Documents and Settings/NetworkService/Local Settings/Temporary Internet Files/Content.IE5/FKY8WICN/real[1].htm Hack.Exploit.Script.Small.g
C:/Documents and Settings/NetworkService/Local Settings/Temporary Internet Files/Content.IE5/C5I7CR8X/14[1].htm Trojan.DL.Script.JS.Agent.mav
C:/Documents and Settings/NetworkService/Local Settings/Temporary Internet Files/Content.IE5/C5I7CR8X/real[1].htm Hack.Exploit.Script.Small.ae
C:/Documents and Settings/NetworkService/Local Settings/Temporary Internet Files/Content.IE5/MVMXMRIT/06014[1].htm Trojan.DL.Script.Small.m
C:/Documents and Settings/NetworkService/Local Settings/Temporary Internet Files/Content.IE5/MVMXMRIT/dm[1].htm Hack.Exploit.Script.Small.aj
C:/Documents and Settings/NetworkService/Local Settings/Temporary Internet Files/Content.IE5/CF8VI5EH/614[1].htm Hack.Exploit.Script.Small.ak
C:/Documents and Settings/lenovo/DoctorWeb/Quarantine/yeSetup.exe Dropper.Win32.Agent.zbx
C:/Documents and Settings/lenovo/DoctorWeb/Quarantine/up.exe Trojan.Win32.Agent.vsw
c:/documents and settings/lenovo/doctorweb/quarantine/zhqb080116.exe>>upack0.36 Trojan.Win32.Undef.bqd
C:/Documents and Settings/lenovo/DoctorWeb/Quarantine/zhqbdf080116.#ll Trojan.Win32.KillAV.gfk

都用瑞星杀毒助手删除了。

打开注册表编辑器，删除O23的项目。

再次重启电脑，毒霸不再报告发现病毒了～

文件说明符 : C:/Windows/system32/wbem/TXAEILOTWZC.DLL
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-9-27 23:37:45
修改时间 : 2007-9-27 23:37:46
访问时间 : 2008-1-20 0:0:0
大小 : 1348096 字节 1.292 MB
MD5 : 03e1dfbc2bbfb4488364362e52a8fe36
SHA1: 25E83A402B7F5B8CA1B7C8EC07A86E37561E270F
CRC32: 62d46428

Kapsersky 报为 not-a-virus:AdWare.Win32.AdMoke.iu，瑞星报为 AdWare.Win32.Admoke.wck

文件说明符 : C:/Windows/system32/OSWAEHKOS.DLL
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-10-1 11:46:1
修改时间 : 2007-10-1 11:46:2
访问时间 : 2008-1-20 0:0:0
大小 : 574976 字节 561.512 KB
MD5 : cce5c15dc6b2c9d3ff3fc021e80d098e
SHA1: 36970B51D306F9DA24FE61945716C147881D300D
CRC32: 790bd6f4

Kapsersky 报为 not-a-virus:AdWare.Win32.AdMoke.oe，瑞星报为 Adware.Win32.Admoke.fg

文件说明符 : D:/test/2hrhuzb.sys
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-1-25 21:38:16
修改时间 : 2008-1-21 21:23:16
访问时间 : 2008-1-25 0:0:0
大小 : 24512 字节 23.960 KB
MD5 : 66131e73690f2e2c3b618448fc7e7760
SHA1: FE39A85F838FB722E74CB11E6A5DB389817B55B3
CRC32: cff8780b

Kapsersky 报为 Trojan-Downloader.Win32.Hmir.rn，瑞星报为 RootKit.Win32.Mnless.ft

分享到：