trojan.immsg.win32.tbmsg.ygt清除办法详解及专杀工具…

admin · 发表于 2008-4-14 01:51:34

Trojan.IMMSG.Win32.TBMSG.ygt病毒中毒症状：
一上网后一直跳出“Trojan.IMMSG.Win32.TBMSG.ygt ; Trojan.PSW.Win32.OnlineGames.yul" 这几个病毒，而且一杀就23个左右，都是这个，有时候正常操作的情况下，屏幕还会暗一下就回到桌面，就想重新启动一样。重装了还是解决不了问题。
Trojan.IMMSG.Win32.TBMSG.ygt病毒分析：
此病毒最近十分流行，究其原因就是大家不注意类似通过U盘传播的病毒的防护，拿来U盘（移动存储）设备就双击，导致病毒十分容易的通过U盘传播。 关于此类U盘病毒的防范方法见第4楼 此病毒的元凶为auto.exe 他是一个木马下载器。通过U盘等移动存储传播到你的电脑中以后，在%system32%下面生成一个随机8个字母和数字组合成的exe文件 并同时生成随机8个字母和数字组合的dll,由winlogon控制插入几乎所有进程 以上文件注册成一个服务，服务名为随机8位字母和数字组合的名称 并在每个磁盘的根目录下生成一个auto.exe和autorun.inf 本例中生成物如下： C:\WINDOWS\system32\E2050308.DLL C:\WINDOWS\system32\F2F187EC.EXE 注册为如下服务：B12E7AC4 连接网络下载木马，木马下载的种类千变万化，所以没有一个专门的查杀方法。这里我仅就我发现的下载的一些木马举例说明。 本例中木马植入完毕以后生成如下文件 C:\WINDOWS\system32\AVPSrv.dll C:\WINDOWS\system32\cmdbcs.dll C:\WINDOWS\system32\DbgHlp32.dll C:\WINDOWS\system32\DiskMan32.dll C:\WINDOWS\system32\Kvsc3.dll C:\WINDOWS\system32\mppds.dll C:\WINDOWS\system32\MsIMMs32.dll C:\WINDOWS\system32\nslookupi.exe C:\WINDOWS\system32\NVDispDrv.dll C:\WINDOWS\system32\upxdnd.dll C:\WINDOWS\system32\WinForm.dll C:\WINDOWS\AVPSrv.exe C:\WINDOWS\cmdbcs.exe C:\WINDOWS\DbgHlp32.exe C:\WINDOWS\DiskMan32.exe C:\WINDOWS\Kvsc3.exe C:\WINDOWS\mppds.exe C:\WINDOWS\MsIMMs32.exe C:\WINDOWS\NVDispDrv.exe C:\WINDOWS\upxdnd.exe C:\WINDOWS\WinForm.exe ... 对应的sreng日志如下： [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] <mppds><C:\WINDOWS\mppds.exe> [] <Kvsc3><C:\WINDOWS\Kvsc3.exe> [] <DiskMan32><C:\WINDOWS\kterzx.exe> [] <WinForm><C:\WINDOWS\WinForm.exe> [] <AVPSrv><C:\WINDOWS\AVPSrv.exe> [] <MsIMMs32><C:\WINDOWS\MsIMMs32.exe> [] <cmdbcs><C:\WINDOWS\cmdbcs.exe> [] <DbgHlp32><C:\WINDOWS\DbgHlp32.exe> [] <upxdnd><C:\WINDOWS\upxdnd.exe> [] <NVDispDrv><C:\WINDOWS\kterzx.exe> [] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] <MSDWG32><LYLoadbr.exe> [N/A] <MSDCG32 ><LYLeador.exe> [N/A] <MSDOG32><LYLoador.exe> [N/A] <MSDSG32><LYLoadar.exe> [N/A] <MSDMG32><LYLoadmr.exe> [N/A] <MSDHG32><LYLoadhr.exe> [N/A] <MSDQG32><LYLoadqr.exe> [N/A] ================================== 服务 [B12E7AC4 / B12E7AC4][Stopped/Auto Start] <C:\WINDOWS\system32\F2F187EC.EXE -k><Microsoft Corporation> ================================== 正在运行的进程 [PID: 1672][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] [C:\WINDOWS\system32\mppds.dll] [N/A, ] [C:\WINDOWS\system32\upxdnd.dll] [N/A, ] [C:\WINDOWS\system32\AVPSrv.dll] [N/A, ] [C:\WINDOWS\system32\DiskMan32.dll] [N/A, ] [C:\WINDOWS\system32\NVDispDrv.dll] [N/A, ] [C:\WINDOWS\system32\MsIMMs32.dll] [N/A, ] [C:\WINDOWS\system32\WinForm.dll] [N/A, ] [C:\WINDOWS\system32\cmdbcs.dll] [N/A, ] [C:\WINDOWS\system32\DbgHlp32.dll] [N/A, ] [C:\WINDOWS\system32\Kvsc3.dll] [N/A, ] [C:\WINDOWS\system32\E2050308.DLL] [Microsoft Corporation, ] ================================== Autorun.inf [C:\] [AutoRun] open=auto.exe shellexecute=auto.exe shell\Auto\command=auto.exe [D:\] [AutoRun] open=auto.exe shellexecute=auto.exe shell\Auto\command=auto.exe [E:\] [AutoRun] open=auto.exe shellexecute=auto.exe shell\Auto\command=auto.exe [1] <a href='http://www.hotbus.cn/it/200710/3615_2.html'>[2]</a> <a href='http://www.hotbus.cn/it/200710/3615_3.html'>[3]</a> <a href='http://www.hotbus.cn/it/200710/3615_2.html'>下一页</a>

似的热突然 · 发表于 2008-9-19 08:00:03

账号		自动登录	找回密码
密码			注册账户

trojan.immsg.win32.tbmsg.ygt清除办法详解及专杀工具…

相关帖子