杀毒
出差回来发现机器中毒了
一个字,杀
Kaspersky自动扫过 都是木马 还清除不了
上网一查Trojan-PSW.Win32.Delf.ic
MS_INFO - MS_INFO.OBJ - 进程信息
进程文件:MS_INFO 或者 MS_INFO.OBJ
进程名称: Trojan-PSW.Win32.Delf.ic
描述:
MS_INFO.OBJ是Trojan-PSW.Win32.Delf.ic木马相关程序,建议立即删除。
出品者: 未知N/A
属于: Trojan-PSW.Win32.Delf.ic
系统进程: 否
后台程序: 否
使用网络: 否
硬件相关: 否
常见错误: 未知N/A
内存使用: 未知N/A
安全等级 (0-5): 2
间谍软件: 否
广告软件: 否
病毒: 是
木马: 是
这是一个QQ盗号木马,该木马通过特殊的线程插入技术, 无启动项, 无进程, 突破防火墙,而且难以清除.逃避QQ的密码保护措施.该木马会监控QQ登陆窗口,记录用户输入的信息,并且把截获的信息发送到木马种植者,并且把自己注册成组建,对用户的安全带来极大的因患.
1.生成文件:
C:\Program Files\Common Files\Microsoft Shared\MSINFO\Ms_Info.Obj
2.注册SHELL扩展组键,使病毒伴随Explorer启动:
HKLM\SOFTWARE\Classes\CLSID\{C4B51E74-2C1D-4D9F-AF6A-E70D0713F387\InProcServer32
@
C:\Program Files\Common Files\Microsoft Shared\MSINFO\
HKLM\SOFTWARE\Classes\CLSID\{C4B51E74-2C1D-4D9F-AF6A-E70D0713F387\InProcServer32
ThreadingModel
"Apartment"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks{C4B51E74-2C1D-4D9F-AF6A-E70D0713F387}
""
3.删除npkcrypt.sys,使QQ的密码保护失效.
建议安全模式下删除此文件夹,原后从系统安装光盘的i386文件夹内拷出MSINFO文件夹正常是应该有的文件(你可以参考别人的机子),i386文件夹内的文件要改后缀名.
这才让我想起来,我女朋友说前几天QQ被盗了,ft。
好像是个变种,我机器上没有Ms_Info.Obj ,只有Ms_Info.xr报错,不管了
恶心是的所有exe打不开了,修复,先把regedit.exe 改名成regedit.com
进入hkey_classes_root\exefile\shell\Open\command,看了一下,没错,没被修改过
进入文件夹选项,文件类型中 新建 扩展名是 exe- 关联文件类型是 应用程序,OK了
再用kapersky杀了一遍,restart,晕出来一个windows找不到'1'文件,网上找啊,下了一个SREng
运行之后,提示我shell被修改了,hoho,打开regedit进入HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT
\WINDOWS NT\CURRENTVERSION\WNLOGON 看到shell的值是Explorer.exe 1改成Explorer.exe,重启就好了。