IT猫扑网：您身边最放心的安全下载站！ 最新更新| 软件分类| 专题汇总| 手机版

您当前所在位置：IT猫扑网 > 网络安全 > 病毒防治 > 传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决

传奇3盗号木马Trojan-PSW.Win32.OnLineGames.esiw手工清除解决

时间：2015-06-28 00:00 来源：IT猫扑网|http://www.itmop.com/ 作者：网管联盟 我要评论(0)

手动解决办法：

1.手动删除文件

&%SystemRoot%system32sysapp44.dll&
&%Temp%1344322740.dat（文件名随机）&

2.用正常系统文件替换以下文件

&游戏目录ksuser.dll&
&游戏目录midimap.dll&
&游戏目录msimg32.dll&
&%SystemRoot%system32ksuser.dll&
&%SystemRoot%system32midimap.dll&
&%SystemRoot%system32msimg32.dll&
&%SystemRoot%system32dllcacheksuser.dll&
&%SystemRoot%system32dllcachemidimap.dll&
&%SystemRoot%system32dllcachemsimg32.dll&

变量声明：

　　%SystemDriver%　　　　　　　系统所在分区，通常为&C:&
　　%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为&C:Windows&
　　%Documents and Settings%　　用户文档目录，通常为&C:Documents and Settings&
　　%Temp%　　　　　　　　　　　临时文件夹，通常为&C:Documents and Settings当前用户名称Local SettingsTemp&
　　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：&C:ProgramFiles&

病毒分析：

1.创建进程快照，查找并强制结束进程&Mir3.dat&。
2.获取系统缓存目录，创建文件&C:DOCUME~1ADMINI~1LOCALS~1Temp1344322740.dat（文件名随机）&，写入病毒数据。
3.查询注册表键值项&HKEY_LOCAL_MACHINESOFTWARESNDAMir3path&、枚举注册表键&HKEY_CURRENT_USERSoftwareMicrosoftWindowsShellNoRoamMUICache&，查找有&传奇3客户端&字样的键值项，获取游戏安装路径。
4.删除文件&游戏目录ksuser.dll&，如果删除失败则将该文件重命名为&游戏目录TEM15.tmp&，并设重启删除，之后将文件&C:DOCUME~1ADMINI~1LOCALS~1Temp1344322740.dat&拷贝重命名为&游戏目录ksuser.dll&。
5.以同样的方式将文件&游戏目录midimap.dll&、&游戏目录msimg32.dll&替换掉。
6.执行&net stop cryptsvc&、&sc config cryptsvc start= disabled&、&sc delete cryptsvc&等命令将系统数字签名验证服务删除。
7.获取系统目录，将文件&C:WINDOWSsystem32ksuser.dll&拷贝重命名为&C:WINDOWSsystem32yuksuser.dll&，删除文件&C:WINDOWSsystem32ksuser.dll&，如果删除失败则将该文件重命名为&C:WINDOWSsystem32TEM16.tmp&，并设重启删除，之后将文件&C:DOCUME~1ADMINI~1LOCALS~1Temp1344322740.dat&拷贝重命名为&C:WINDOWSsystem32ksuser.dll&。以同样的方式删除文件&C:WINDOWSsystem32dllcacheksuser.dll&，并将&C:WINDOWSsystem32ksuser.dll&拷贝重命名为&C:WINDOWSsystem32dllcacheksuser.dll&。
8.以同样的方式将文件&C:WINDOWSsystem32midimap.dll&、&C:WINDOWSsystem32msimg32.dll&、&C:WINDOWSsystem32dllcachemidimap.dll&、&C:WINDOWSsystem32dllcachemsimg32.dll&替换掉。
9.将文件&C:DOCUME~1ADMINI~1LOCALS~1Temp1344322740.dat&拷贝重命名为&C:WINDOWSsystem32sysapp44.dll&。
10.创建新进程，执行&C:WINDOWSsystem32rundll32.exe C:DOCUME~1ADMINI~1LOCALS~1Temp1344322740.dat, ServerMain 病毒文件主程序&，将病毒文件自身删除。
11.病毒dll加载之后，加载正常的系统文件&C:WINDOWSsystem32yu*.dll&，创建新线程，判断当前进程是否为&360Safe.exe&、&360Tray.exe&、&360sd.exe&，如果是则结束当前进程，如果当前进程为游戏进程则截取游戏账号密码等信息发送到指定的主机。

病毒创建文件：

&%Temp%1344322740.dat（文件名随机）&
&游戏目录ksuser.dll&
&游戏目录midimap.dll&
&游戏目录msimg32.dll&
&%SystemRoot%system32ksuser.dll&
&%SystemRoot%system32midimap.dll&
&%SystemRoot%system32msimg32.dll&
&%SystemRoot%system32sysapp44.dll&
&%SystemRoot%system32dllcacheksuser.dll&
&%SystemRoot%system32dllcachemidimap.dll&
&%SystemRoot%system32dllcachemsimg32.dll&

病毒删除文件：

&游戏目录ksuser.dll&
&游戏目录midimap.dll&
&游戏目录msimg32.dll&
&%SystemRoot%system32ksuser.dll&
&%SystemRoot%system32midimap.dll&
&%SystemRoot%system32msimg32.dll&
&%SystemRoot%system32dllcacheksuser.dll&
&%SystemRoot%system32dllcachemidimap.dll&
&%SystemRoot%system32dllcachemsimg32.dll&

关键词标签：盗号木马

相关阅读 发Rootkit.Ads.i 和Trojan.DL.Mach.c病毒如何清除 杀毒36计之手动清除PcShare木马_PcShare木马清除方法 注册表被修改的原因及解决办法 卡巴斯基2017/2016破解版_kaspersky卡巴斯基2015/2014/2013/2012/2011/2010激活码/授权许可文件Key 卡巴斯基2016授权文件_卡巴斯基2016用授权文件KEY激活教程(完美激活) 卡巴斯基2017破解版_Kaspersky卡巴斯基2017激活码/授权许可文件Key

文章评论
发表评论

热门文章 安全专家谈：玩游戏后IE浏览器首页被篡改 安全专家谈：玩游戏后IE浏览器首页被篡改 教你揪出伪装系统木马并清除 教你揪出伪装系统木马并清除 Windows 17年的老漏洞(VDM 0day)须警惕 Windows 17年的老漏洞(VDM 0day)须警惕 教你如何清除Spoolsv.exe木马 教你如何清除Spoolsv.exe木马 网友分享：ESET NOD32安全套装设置技巧 网友分享：ESET NOD32安全套装设置技巧 用小工具巧杀计算机病毒 用小工具巧杀计算机病毒

相关下载

人气排行 卡巴斯基2017激活教程_卡巴斯基2017用授权文件KEY激活的方法(完美激活) 解决alexa.exe自动弹出网页病毒 卡巴斯基2017破解版_Kaspersky卡巴斯基2017激活码/授权许可文件Key comine.exe 病毒清除方法 ekrn.exe占用CPU 100%的解决方案 木马下载者Trojan-Downloader.Win32.FakeFolder.c手工清除解决方案 发Rootkit.Ads.i 和Trojan.DL.Mach.c病毒如何清除 一招搞定几万种木马----→ 注册表权限设置 svhost32.exe杀毒方法 光盘在刻录时进入了病毒的解决办法 地下城与勇士游戏盗号木马Trojan-PSW.Win32.OnLineGames.esmg手工清除解决方案 卡巴斯基2017/2016破解版_kaspersky卡巴斯基2015/2014/2013/2012/2011/2010激活码/授权许可文件Key