网友的电脑中发现Hacker.com.cn.ini、runouce.exe

endurer 原创
2007-03-01 第1版

有位网友发来email，说他的电脑中了病毒。在网友发来的 HijackThis 扫描的 log中，发现如下可疑项：
/----
O2 - BHO: Tencent Browser Helper - {0C7C23EF-A848-485B-873C-0ED954731014} - C:/Program Files/TENCENT/Adplus/SSAddr1.dll

O2 - BHO: (no name) - {669751ED-D558-49AE-B01A-3B374CC7910E} - C:/WINDOWS/system32/ssup.dll

O3 - Toolbar: CopySo拷贝搜 - {40987A5C-6AB8-4977-8BE9-A8889DE2EDCC} - C:/Program Files/Copyso/CopysoIE.dll (file missing)

O3 - Toolbar: 雅虎助手 - {406F94F0-504F-4A40-8DFD-58B0666ABEBD} - C:/PROGRA~1/Yahoo!/ASSIST~1/Assist/yasbar.dll (file missing)

O4 - HKLM/../Run: [Runonce] C:/WINDOWS/system32/runouce.exe

O4 - HKLM/../Run: [stup.exe] C:/PROGRA~1/TENCENT/Adplus/stup.exe

O8 - Extra context menu item: 雅虎搜索 - res://C:/PROGRA~1/Yahoo!/ASSIST~1/Assist/yasbar.dll/203

O9 - Extra button: 网址大全 - {1FBA04EE-3024-11D2-8F1F-0000F87ABD18} - http://www.coc.cc (file missing)

O9 - Extra button: 易趣购物 - {DE60714F-AC19-427e-861A-FD60ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)

O9 - Extra 'Tools' menuitem: 易趣购物 - {DE60714F-AC19-427e-861A-FD60ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)

O11 - Options group: [TBH] 中文搜搜

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:/WINDOWS/system32/WPDShServiceObj.dll

O23 - Service: Windows XP - Unknown owner - C:/WINDOWS/Hacker.com.cn.ini
----/

O4项中的 C:/WINDOWS/system32/runouce.exe 疑是中国黑客Ⅱ（Worm.ChineseHacker-2）
参考：中国黑客(worm.runouce)病毒分析报告
http://it.rising.com.cn/antivirus/net_virus/runoucespecial.htm

O23项中的 C:/WINDOWS/Hacker.com.cn.ini 疑是灰鸽子。

修复建议:
(下列修复操作可参考【系统修复系列之】基本操作索引 　
http://endurer.blogchina.com/2591241.html）

卸载：腾讯地址栏搜索,雅虎助手,中文搜搜

重启电脑到安全模式

停止并禁用服务：Windows XP

用WinRAR找到文件：

C:/WINDOWS/Hacker.com.cn.ini
C:/WINDOWS/system32/runouce.exe
C:/WINDOWS/system32/WPDShServiceObj.dll

打包备份后删除。

用HijackThis修复上列项目

WPDShServiceObj.dll 有可能是 Windows媒体播放器(Windows Media Player,WMP) 11的文件。
如果修复后电脑中的WMP工作不正常，你可从HijackThis中恢复
或者卸载重装WMP11

清空IE临时文件夹

清空 c:/windows/prefetch

重启电脑，把 Hacker.com.cn.ini，runouce.exe 和 WPDShServiceObj.dll
的压缩包作为email附件发到[e-mail]。