Trojan-PSW.Win32.WOW.bv手动清除方法

<BR>&nbsp; &nbsp;
<P>　　病毒描述：</P>
<P>　　该病毒运行后，释放若干病毒副本到%Windows%与%\System32\%目录下，修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefiles为winfiles，新建键值，把exe文件与病毒文件相关联，并添加启动项，以达到开机后运行病毒与打开任意程序即运行病毒的目的。该病毒会盗取“征途”、“魔兽”等网络游戏的个人信息，发到指定网站。</P>
<P>　　行为分析：</P>
<P>　　1、释放下列副本与文件</P>
<P>　　%\Program Files\Common Files\% 　　　　iexplore.pif</P>
<P>　　%\Windows\%　　　　　1.com</P>
<P>　　%\Windows\%　　　　　ExERoute.com 　　 Trojan-PSW.Win32.WOW.bv</P>
<P>　　%\Windows\%　　　　　explore.com 　　　同上</P>
<P>　　%\Windows\%　　　　　finder.com　　　　同上</P>
<P>　　%\Windows\%　　　　　KB890859.log　　　同上</P>
<P>　　%\Windows\%　　　　　WINLOGON.EXE　　　同上</P>
<P>　　%\Windows\%LastCood\INF\oem5.inf</P>
<P>　　%\Windows\%LastCood\INF\oem5.PNF</P>
<P>　　%\System32\%command 指向MS-Dos的快捷方式</P>
<P>　　%\System32\%　　　　 dxdiag.com 　　　 同上</P>
<P>　　%\System32\%　　　　 finder.com 　　　 同上</P>
<P>　　%\System32\%　　　　 msconfig.com　　　同上</P>
<P>　　%\System32\%　　　　 regedit.com　　　 同上</P>
<P>　　%\System32\%　　　　 rundll32.com　　　同上</P>
<P>　　D:\autorun.inf</P>
<P>　　D:\pagefile.pif</P>
<P>　　2、新建注册表键值：</P>
<P>　　在此键值下新建若干病毒释放文件相关键值</P>
<P>　　HKEY_CURRENT_USER\Software\Microsoft\Windows</P>
<P>　　\ShellNoRoam\Bags\15\Shell\</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles\</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles</P>
<P>　　\Shell\Open\Command\@</P>
<P>　　键值: 字符串: "C:\WINDOWS\ExERoute.exe "%1" %*"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet</P>
<P>　　\iexplore.pif\shell\open\command\@</P>
<P>　　键值: 字符串:""C:\ProgramFiles\common~1\iexplore.pif""</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Run\Torjan Program</P>
<P>　　键值: 字符串: "C:\WINDOWS\WINLOGON.EXE"</P>
<P>　　HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery</P>
<P>　　\LastGood\</P>
<P>　　HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery</P>
<P>　　\LastGood\INF/oem5.inf</P>
<P>　　键值: DWORD: 1 (0x1)</P>
<P>　　3、病毒会检测下列进程，并关闭</P>
<P>　　ravmon.exe　　　瑞星的实时监控组件</P>
<P>　　trojdie*　　　　江民监控程序</P>
<P>　　kpop*</P>
<P>　　ccenter*　　　　瑞星杀毒软件控制台相关程序</P>
<P>　　*assistse*</P>
<P>　　kpfw*　　　　　 天网个人防火墙</P>
<P>　　agentsvr*</P>
<P>　　kv*　　　　　　 江民杀软进程</P>
<P>　　kreg*</P>
<P>　　iefind*</P>
<P>　　iparmor* 　　　 木马克星</P>
<P>　　svi.exe</P>
<P>　　uphc*</P>
<P>　　rulewize*</P>
<P>　　fygt*</P>
<P>　　rfwsrv*</P>
<P>　　rfwma*</P>
<P>　　4、通过修改WOW/\realmlist.wtfr文件中地址，可转换服务器。</P>
<P>　　us.logon.worldofwarcraft.com 　　美服</P>
<P>　　eu.logon.worldofwarcraft.com　　 欧服</P>
<P>　　tw.logon.worldofwarcraft.com 　　台服</P>
<P>　　搜集信息包括;</P>
<P>　　companyname;filedescription;fileversion;internalname;legalcopyright;</P>
<P>　　originalfilename;productname;productversion;comments;legaltr</P>
<P>　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。</P>
<P>　　清除方案：</P>
<P>　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。</P>
<P>　　(1) 使用安天木马防线“进程管理”关闭病毒进程</P>
<P>　　WINLOGN.EXE</P>
<P>　　(2) 删除病毒文件</P>
<P>　　%\Program Files\Common Files\%</P>
<P>　　%\Windows\%　　　　　　　1.com</P>
<P>　　%\Windows\%　　　　　　　ExERoute.com</P>
<P>　　%\Windows\%　　　　　　　explore.com</P>
<P>　　%\Windows\%　　　　　　　finder.com</P>
<P>　　%\Windows\%　　　　　　　KB890859.log</P>
<P>　　%\Windows\%　　　　　　　WINLOGON.EXE</P>
<P>　　%\Windows\%LastCood\INF\oem5.inf</P>
<P>　　%\Windows\%LastCood\INF\oem5.PNF</P>
<P>　　%\System32\%command 指向MS-Dos的快捷方式</P>
<P>　　%\System32\%　　　　　　dxdiag.com</P>
<P>　　%\System32\%　　　　　　finder.com</P>
<P>　　%\System32\%　　　　　　msconfig.com</P>
<P>　　%\System32\%　　　　　　regedit.com</P>
<P>　　%\System32\%　　　　　　rundll32.com</P>
<P>　　D:\autorun.inf</P>
<P>　　D:\pagefile.pif</P>
<P>　　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项</P>
<P>　　修改HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles</P>
<P>　　为HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile</P>
<P>　　\shell\open\command</P>
<P>　　"%1" %*</P>
<P>　　修改键值 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles</P>
<P>　　\Shell\Open\Command\@</P>
<P>　　键值: 字符串: "C:\WINDOWS\ExERoute.exe "%1" %*"</P>
<P>　　为HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile</P>
<P>　　\shell\open\command</P>
<P>　　键值: 字符串: "%1" %*</P>
<P>　　删除注册表项:HKEY_CURRENT_USER\Software\Microsoft\Windows</P>
<P>　　\ShellNoRoam\Bags\15\Shell</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Run\Torjan Program</P>
<P>　　键值: 字符串: "C:\WINDOWS\WINLOGON.EXE"</P> <BR>