遭遇Trojan.DL.Multi.wfg(sss.exe、SCVHOST.EXE、autorun.inf)等

遭遇Trojan.DL.Multi.wfg(sss.exe、SCVHOST.EXE、autorun.inf)等

2006-12-23 第2版 补充修订2006-12-22 第1版

昨天下午，一位朋友的电脑接入U盘后弹出错误信息框，提示找不到A盘什么的，关了又调出来。让我帮忙看看。

用WinRAR打开U盘，发现文件 autorun.inf 和 sss.exe，删除后又立即生成。

到 ​​- HijackThis 和 ProcView。

运行ProcView，按最后修改时间排序，发现可疑进程：/=====C:/Program Files/Microsoft/svhost32.exeC:/WINDOWS/system32/scvhsot.exe=====/终止它们，错误信息框也消失了，再删除U盘里的autorun.inf 和 sss.exe，这下不再重生了。

用 pe_xscan 扫描log，发现如下可疑项：/=====pe_xscan by Purple Endurer2006-12-21 15:30:29Windows XP Service Pack 2(5.1.2600)管理员用户组[System Process]*0    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/WINDOWS/Explorer.EXE*1160*2004-8-23 16:0:0    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/Program Files/Common Files/Real/Update_OB/realsched.exe*1988*2001-1-1 0:17:54    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/WINDOWS/system32/rundll32.exe*2004*2004-8-23 16:0:0    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/WINDOWS/Intel/rundll32.exe*2028*2006-11-8 16:58:44    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/WINDOWS/system32/ctfmon.exe*2036*2004-8-23 16:0:0    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/Program Files/Internet Explorer/iexplore.exe*188*2004-8-24 0:0:0    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/PROGRA~1/Yahoo!/ASSIST~1/ylive.exe*1212*2006-10-30 18:10:2    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/Program Files/WinRAR/WinRAR.exe*424*2004-12-27 9:18:26    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36F:/Tools11/HijackThis.exe*1064*2005-2-16 11:6:16    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36C:/WINDOWS/system32/NOTEPAD.EXE*288*2004-8-23 16:0:0    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36F:/Tools11/3.exe*2516*2006-12-21 15:29:42    C:/WINDOWS/system32/ztdll.dll*2006-12-21 8:24:38    C:/WINDOWS/system32/dllms.dll*2006-12-21 8:24:36

O4 - HKLM/../Run: [ms] C:/Program Files/Microsoft/svhost32.exeO4 - HKLM/../Run: [rzt] C:/WINDOWS/Intel/rundll32.exeO4 - HKLM/../Run: [QQKAV] C:/WINDOWS/system32/scvhsot.exeD:/autorun.inf/-----[AutoRun]open=sss.exeshellexecute=sss.exeshell/Auto/command=sss.exe-----/E:/autorun.inf/-----[AutoRun]open=sss.exeshellexecute=sss.exeshell/Auto/command=sss.exe-----/F:/autorun.inf/-----[AutoRun]open=sss.exeshellexecute=sss.exeshell/Auto/command=sss.exe-----/H:/autorun.inf/-----[AutoRun]open=sss.exeshellexecute=sss.exeshell/Auto/command=sss.exe-----/

用WinRAR删除各盘上的 D、F、H 盘上的 sss.exe 和 autorun.inf 文件，留下E盘上的备用。

到 ​​-并运行 瑞星杀毒助手，使用瑞星在线免费扫描，结果如下：/-----2006-12-21 16:51:22　瑞星杀毒助手Windows XP Service Pack 2(5.1.2600)文件名 病毒名C:/WINDOWS/system32/winscok.dll Trojan.PSW.QQPass.pozC:/WINDOWS/system32/SVOHOST.exe Trojan.PSW.QQPass.pozC:/WINDOWS/system32/wincfgs.exe Worm.UsbSpy.aC:/WINDOWS/system32/dllms.dll Trojan.PSW.WoWar.qqC:/WINDOWS/system32/ztdll.dll Trojan.PSW.ZhengTu.smC:/WINDOWS/system32/scvhsot.exe Trojan.DL.Multi.wfgC:/WINDOWS/Intel/rundll32.exe Trojan.PSW.ZhengTu.thE:/sxs.exe>>FSG2.0 Trojan.PSW.QQPass.pqbE:/sss.exe Trojan.DL.Multi.wfg-----/

很多以前都见过……

到 ​​-了 FileInfo 和 bat_do。

用 bat_do 把病毒文件打包，用 FileInfo 提取病毒文件信息，再用瑞星杀毒助手删除了。

用HijackThis修复上面的 O4 项，用WinRAR删除 E 盘上的 autorun.inf 文件。

文件说明符 : C:/WINDOWS/system32/dllms.dll属性 : A---获取文件版本信息大小失败!创建时间 : 2006-11-8 16:57:57修改时间 : 2006-12-21 8:24:36访问时间 : 2006-12-21 0:0:0大小 : 51200 字节 50.0 KBMD5 : a6cc05b8ccc4a52a8558fedc7f52cc27

文件说明符 : C:/WINDOWS/system32/ztdll.dll属性 : A---获取文件版本信息大小失败!创建时间 : 2006-11-8 16:58:43修改时间 : 2006-12-21 8:24:38访问时间 : 2006-12-21 0:0:0大小 : 41984 字节 41.0 KBMD5 : 8d7a011ff9497d111e0892c93fdb4063

文件说明符 : C:/WINDOWS/system32/SVOHOST.exe属性 : -SH-获取文件版本信息大小失败!创建时间 : 2006-9-15 17:3:16修改时间 : 2006-7-31 8:21:2访问时间 : 2006-12-21 0:0:0大小 : 47235 字节 46.131 KBMD5 : 6fa72cbba8f23eae2797557c704095e5

文件说明符 : C:/WINDOWS/system32/winsock.dll属性 : A---语言 : 英语(美国)文件版本 : 3.10说明 : Windows Socket 16-Bit DLL版权 : Copyright ?Microsoft Corp. 1981-1996备注 : 产品版本 : 3.10产品名称 : Microsoft?Windows(TM) Operating System公司名称 : Microsoft Corporation合法商标 : 内部名称 : WINSOCK源文件名 : WINSOCK.DLL创建时间 : 2004-8-23 16:0:0修改时间 : 2004-8-23 16:0:0访问时间 : 2006-12-21 0:0:0大小 : 2864 字节 2.816 KBMD5 : 68485c5ef0e2efcebf21bbb1042b823b

件说明符 : C:/WINDOWS/system32/wincfgs.exe属性 : -SHR获取文件版本信息大小失败!创建时间 : 2001-1-10 5:40:28修改时间 : 2006-2-3 18:10:38访问时间 : 2006-12-21 0:0:0大小 : 47104 字节 46.0 KBMD5 : 07adddef653a702b9a11edbcee07e82b

文件说明符 : C:/WINDOWS/Intel/rundll32.exe属性 : A---获取文件版本信息大小失败!创建时间 : 2006-11-8 16:58:42修改时间 : 2006-11-8 16:58:44访问时间 : 2006-12-21 0:0:0大小 : 78336 字节 76.512 KBMD5 : 5bd9e01b3cb7e1247deedb731c8878d8

文件说明符 : E:/sss.exe属性 : ASHR获取文件版本信息大小失败!创建时间 : 2006-12-21 15:10:0修改时间 : 2006-12-18 23:10:54访问时间 : 2006-12-21 0:0:0大小 : 37376 字节 36.512 KBMD5 : f3c31f846ef984cba3a1ef5bb6457d3e

文件说明符 : E:/sxs.exe属性 : ASH-获取文件版本信息大小失败!创建时间 : 2006-9-21 10:57:41修改时间 : 2006-8-11 2:12:48访问时间 : 2006-12-21 0:0:0大小 : 33815 字节 33.23 KBMD5 : 1781cb8004dc700ac66d799c35ac5c5a

文件说明符 : C:/WINDOWS/system32/scvhsot.exe属性 : ASHR获取文件版本信息大小失败!创建时间 : 2006-12-21 15:9:37修改时间 : 2006-12-18 23:10:54访问时间 : 2006-12-21 0:0:0大小 : 37376 字节 36.512 KBMD5 : f3c31f846ef984cba3a1ef5bb6457d3e

scvhsot.exe 与 sss.exe 完全相同，Kaspersky报为：Trojan-Downloader.Win32.Smaill.ecw。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。