文章导航绿软下载站软件下载安卓资源苹果资源专题

您当前所在位置:首页网络安全病毒防治 → 传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决

传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决

时间:2015/6/28来源:IT猫扑网作者:网管联盟我要评论(0)

手动解决办法

1.手动删除文件

"%SystemRoot%\system32\sysapp44.dll"
"%Temp%\1344322740.dat(文件名随机)"

2.用正常系统文件替换以下文件

"游戏目录\ksuser.dll"
"游戏目录\midimap.dll"
"游戏目录\msimg32.dll"
"%SystemRoot%\system32\ksuser.dll"
"%SystemRoot%\system32\midimap.dll"
"%SystemRoot%\system32\msimg32.dll"
"%SystemRoot%\system32\dllcache\ksuser.dll"
"%SystemRoot%\system32\dllcache\midimap.dll"
"%SystemRoot%\system32\dllcache\msimg32.dll"

变量声明:

  %SystemDriver%       系统所在分区,通常为"C:\"
  %SystemRoot%        WINDODWS所在目录,通常为"C:\Windows"
  %Documents and Settings%  用户文档目录,通常为"C:\Documents and Settings"
  %Temp%           临时文件夹,通常为"C:\Documents and Settings\当前用户名称\Local Settings\Temp"
  %ProgramFiles%       系统程序默认安装目录,通常为:"C:\ProgramFiles"

病毒分析:

1.创建进程快照,查找并强制结束进程"Mir3.dat"。
2.获取系统缓存目录,创建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat(文件名随机)",写入病毒数据。
3.查询注册表键值项"HKEY_LOCAL_MACHINE\SOFTWARE\SNDA\Mir3\path"、枚举注册表键"HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache",查找有"传奇3客户端"字样的键值项,获取游戏安装路径。
4.删除文件"游戏目录\ksuser.dll",如果删除失败则将该文件重命名为"游戏目录\TEM15.tmp",并设重启删除,之后将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat"拷贝重命名为"游戏目录\ksuser.dll"。
5.以同样的方式将文件"游戏目录\midimap.dll"、"游戏目录\msimg32.dll"替换掉。
6.执行"net stop cryptsvc"、"sc config cryptsvc start= disabled"、"sc delete cryptsvc"等命令将系统数字签名验证服务删除。
7.获取系统目录,将文件"C:\WINDOWS\system32\ksuser.dll"拷贝重命名为"C:\WINDOWS\system32\yuksuser.dll",删除文件"C:\WINDOWS\system32\ksuser.dll",如果删除失败则将该文件重命名为"C:\WINDOWS\system32\TEM16.tmp",并设重启删除,之后将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat"拷贝重命名为"C:\WINDOWS\system32\ksuser.dll"。以同样的方式删除文件"C:\WINDOWS\system32\dllcache\ksuser.dll",并将"C:\WINDOWS\system32\ksuser.dll"拷贝重命名为"C:\WINDOWS\system32\dllcache\ksuser.dll"。
8.以同样的方式将文件"C:\WINDOWS\system32\midimap.dll"、"C:\WINDOWS\system32\msimg32.dll"、"C:\WINDOWS\system32\dllcache\midimap.dll"、"C:\WINDOWS\system32\dllcache\msimg32.dll"替换掉。
9.将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat"拷贝重命名为"C:\WINDOWS\system32\sysapp44.dll"。
10.创建新进程,执行"C:\WINDOWS\system32\rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1344322740.dat, ServerMain 病毒文件主程序",将病毒文件自身删除。
11.病毒dll加载之后,加载正常的系统文件"C:\WINDOWS\system32\yu*.dll",创建新线程,判断当前进程是否为"360Safe.exe"、"360Tray.exe"、"360sd.exe",如果是则结束当前进程,如果当前进程为游戏进程则截取游戏账号密码等信息发送到指定的主机。

病毒创建文件:

"%Temp%\1344322740.dat(文件名随机)"
"游戏目录\ksuser.dll"
"游戏目录\midimap.dll"
"游戏目录\msimg32.dll"
"%SystemRoot%\system32\ksuser.dll"
"%SystemRoot%\system32\midimap.dll"
"%SystemRoot%\system32\msimg32.dll"
"%SystemRoot%\system32\sysapp44.dll"
"%SystemRoot%\system32\dllcache\ksuser.dll"
"%SystemRoot%\system32\dllcache\midimap.dll"
"%SystemRoot%\system32\dllcache\msimg32.dll"

病毒删除文件:

"游戏目录\ksuser.dll"
"游戏目录\midimap.dll"
"游戏目录\msimg32.dll"
"%SystemRoot%\system32\ksuser.dll"
"%SystemRoot%\system32\midimap.dll"
"%SystemRoot%\system32\msimg32.dll"
"%SystemRoot%\system32\dllcache\ksuser.dll"
"%SystemRoot%\system32\dllcache\midimap.dll"
"%SystemRoot%\system32\dllcache\msimg32.dll" 关键词标签:盗号木马

相关阅读

文章评论
发表评论

热门文章 循序渐进 教你揪出伪装并清除木马循序渐进 教你揪出伪装并清除木马配置系统组策略 拒绝优盘病毒非法传播配置系统组策略 拒绝优盘病毒非法传播清除系统里的.VBS病毒清除系统里的.VBS病毒网友分享:ESET NOD32安全套装设置技巧网友分享:ESET NOD32安全套装设置技巧

相关软件

人气排行 解决alexa.exe自动弹出网页病毒卡巴斯基2017激活教程_卡巴斯基2017用授权文件KEY激活的方法(完美卡巴斯基2017破解版_Kaspersky卡巴斯基2017激活码/授权许可文件K更改文件权限--处理另类无法删除病毒comine.exe 病毒清除方法ekrn.exe占用CPU 100%的解决方案当杀毒软件无能为力时,手动杀毒(利用系统自带命令查杀病毒)也许一招搞定几万种木马----→ 注册表权限设置