Trojan-GameThief/Win32.WOW.bon (usp10.dll) 木马的清除经验

http://szitr.com/bbs/thread-156-1-1.html

前几天从别人电脑上Copy了一些Game来玩.结果出现了一些很不正常的情况,防火墙频烦报告异常的连接申请.而且打开什么程序就是什么程序申请连接外部IP.心想完蛋..中招.

马上删除Game.然后马上升级360并全面扫描,结果发现很多这样的报告.

查杀时间 ：2008-08-30 10:52
木马名称：Trojan-GameThief/Win32.WOW.bon
路径：C:\Program Files\Zone Labs\ZoneAlarm\usp10.dll

在正常模式/安全模式都正常清除干净,一开机就又有一堆.

最后Google了好多文才发现解决方案

1.进入安全模式.

2.搜索/删除 所有盘下所有目录下 的 thumbs.db(包含隐藏文件-点击更多高级选项->勾选搜索搜索隐藏的文件和文件夹)

3.搜索/删除 所有盘下所有目录下 的大小约为38KB的 usp10.dll(包含隐藏文件).**其他400K/500K的是系统的文件.不要删除

4.完成.重新正常开机

此木马使用的利用了系统进入目录都会读取thumbs.db的机会来执行恶意代码,在Windows目录下生成usp10.dll,因为很多程序执行时都会调用系统的usp10.dll.调用的顺序->当前目录->Path指定目录.然后就会调用到Windows下的usp10.dll,然后再各执行程序的当前目录生成usp10.dll.就这样一直COPY下去.暂时还不知是否有修改到Exe文件.

我郁闷了几天才搞好(还好没重装系统,就算重装了.如果在其他盘有被感染的thumbs.db,一样中招,所以我已经在 资源管理器->工具->文件夹选项->查看->勾选[不缓存缩略图],这样就不会生成thumbs.db).希望对大家有帮助.