[求助]trojan-spy.win32.delf.abj杀不掉

lia-002

用咔吧能查出来,说是木马程序,但重启动就又出来了.
在system32中有个WinFormA6.ini的文件,好象是它的关联文件,删掉都重启动就有产生了.
网上也没有相关的杀毒工具,看来只能在注册表里手工删了.哪位高人能帮忙吗?

好象同时Explroer.exe也同时跳出来要加到另一个进程中了．
头疼死了．

妮可宝贝

重装个系统试试? :P

jimmyyu

本地行为:

1、 文件运行后会释放以下文件：
%System32%\WinFormA.ini     18字节
%System32%\WinFormA5.dll    17,493字节
%System32%\WinFormA5.exe    11,667字节

删除： verclsid.exe         28,672 字节
verclsid.exe功能：安装了Windows安全更新908531(MS06-015)后出新增的一个程序。该程序会在WindowsShell或Windows资源管理器实例化任何外壳扩展之前对这些扩展进行验证。

2、修改AppInit_DLLs，添加启动项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
新: 字符串: "WinFormA5.dll"
旧: 字符串: ""

3、通过打开文件的钩子操作进行启动：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A12BC423-3713-224D-3F55-32B35C62B11A}\InprocServer32\@
键值: 字符串: "C:\WINDOWS\system32\WinFormA5.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A12BC423-3713-224D-3F55-32B35C62B11A}\InprocServer32\ThreadingModel
键值: 字符串: "Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{A12BC423-3713-224D-3F55-32B35C62B11A}
键值: 字符串: "WinFormA5.dll"

4、关闭Windows自动更新：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\AUOptions
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate
键值: DWORD: 1 (0x1)

    5、关闭Windows自带防火墙：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
键值: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
键值: DWORD: 0 (0)

    6、WinFormA5.dll进行键盘记录
   
7、WinFormA5.dll插入EXPLORER.EXE和其它应用程序进程中

8、该病毒可盗取网络游戏“天龙八步”的帐号与密码
        
    网络行为:
        
1、 以插入病毒DLL文件的EXPLORER.EXE进程连接网络，下载大量其它病毒文件，这些病毒文件中有病毒下载器，病毒下载器还可下载更多的其它病毒到本机运行：
连接网络：
688.1130688.com(210.51.170.64:80)
203.171.233.244

        下载病毒文件并自动运行后，病毒文件如下：
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\14[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\1[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\5[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\9[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2FY7KF27\11[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2FY7KF27\3[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2FY7KF27\7[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\12[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\4[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\8[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\8[2].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\4FEI87ZS\10[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\4FEI87ZS\2[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\4FEI87ZS\6[1].exe
%Program Files%\Internet Explorer\RAVGJMON.DAT
%Program Files%\Internet Explorer\RAVGJMON.exe
%Program Files%\Internet Explorer\RAVWDMON.DAT
%Program Files%\Internet Explorer\RAVWDMON.exe
%System32%\1.exe
%System32%\dhdini.dll
%System32%\dhdins.exe
%System32%\dhdpri.dll
%System32%\jziini.dll
%System32%\jziins.exe
%System32%\jzipri.dll
%System32%\msdebug.dll
%System32%\mxacfg.dll
%System32%\mxaman.dll
%System32%\mxaset.exe
%System32%\qheini.dll
%System32%\qheins.exe
%System32%\qhepri.dll
%System32%\TIMHost.dll
%System32%\wlgini.dll
%System32%\wlhins.exe
%System32%\wlhpri.dll
%System32%\WMIApiSrv.dll
%System32%\ztmini.dll
%System32%\ztmins.exe
%System32%\ztmpri.dll
%Windir%\TIMHost.exe
%Windir%\winow.dll
%Windir%\winow.exe


注释：
%Windir%                      WINDODWS所在目录
%DriveLetter%                逻辑驱动器根目录
%ProgramFiles%                系统程序默认安装目录
%HomeDrive%                  当前启动系统所在分区
%Documents and Settings%    当前用户文档根目录
%Temp%                        当前用户TEMP缓存变量；路径为：
%Documents and Settings%\当前用户\Local Settings\Temp
%System32%                    是一个可变路径；
病毒通过查询操作系统来决定当前System32文件夹的位置；
Windows2000/NT中默认的安装路径是　C:\Winnt\System32；
Windows95/98/Me中默认的安装路径是　C:\Windows\System；
WindowsXP中默认的安装路径是　C:\Windows\System32。
   
   
四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。
        
        重新起动机器，进入安全模式，利用安天木马防线或ATool等工具进行如下操作：
(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程
    强行删除插入EXPLORER.EXE的WinFormA5.dll

(2) 强行删除病毒文件
%System32%\WinFormA.ini
%System32%\WinFormA5.dll   
%System32%\WinFormA5.exe

(3) 恢复病毒修改的注册表项目
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
\AppInit_DLLs
新: 字符串: "WinFormA5.dll"
旧: 字符串: ""

(4) 删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A12BC423-3713-224D-3F55-32B35C62B11A}\InprocServer32\@
键值: 字符串: "C:\WINDOWS\system32\WinFormA5.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A12BC423-3713-224D-3F55-32B35C62B11A}\InprocServer32\ThreadingModel
键值: 字符串: "Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{A12BC423-3713-224D-3F55-32B35C62B11A}
键值: 字符串: "WinFormA5.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\AUOptions
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
键值: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
键值: DWORD: 0 (0)

    (5) 强行删除该病毒下载的文件：
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\14[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\1[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\5[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\0FULOB89\9[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2FY7KF27\11[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2FY7KF27\3[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2FY7KF27\7[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\12[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\4[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\8[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\2NCVMH4H\8[2].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\4FEI87ZS\10[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\4FEI87ZS\2[1].exe
%Documents and Settings%\当前用户\Local Settings\Temporary Internet Files\Content.IE5\4FEI87ZS\6[1].exe
%Program Files%\Internet Explorer\RAVGJMON.DAT
%Program Files%\Internet Explorer\RAVGJMON.exe
%Program Files%\Internet Explorer\RAVWDMON.DAT
%Program Files%\Internet Explorer\RAVWDMON.exe
%System32%\1.exe
%System32%\dhdini.dll
%System32%\dhdins.exe
%System32%\dhdpri.dll
%System32%\jziini.dll
%System32%\jziins.exe
%System32%\jzipri.dll
%System32%\msdebug.dll
%System32%\mxacfg.dll
%System32%\mxaman.dll
%System32%\mxaset.exe
%System32%\qheini.dll
%System32%\qheins.exe
%System32%\qhepri.dll
%System32%\TIMHost.dll
%System32%\wlgini.dll
%System32%\wlhins.exe
%System32%\wlhpri.dll
%System32%\WMIApiSrv.dll
%System32%\ztmini.dll
%System32%\ztmins.exe
%System32%\ztmpri.dll
%Windir%\TIMHost.exe
%Windir%\winow.dll
%Windir%\winow.exe


这个方法看看行不是a5的，这个是老一点的那个病毒，你中的应该是变种了的吧？

lia-002

谢谢了，到单位马上就试验。