华丽的ヽ沉默教你清理恶心猖狂的流氓网站目录和方法

写于:中华游戏网-CNYOUW 👦会员:男神呀 🕘时间:2010-07-07 13:20 👀围观:14508人 💬回复:7人

🔔 管理提醒：本帖被 talentヽ杰杰执行锁定操作(2011-02-23)

大家好，我是华丽的ヽ沉默，今天交给大家的是：清理恶心猖狂的流氓网站目录和方法。
下面请看：
刚才下载一个CS单机的僵尸服，中了流氓网站的新花招。

在电脑桌面创建假淘宝、假IE、免费在线电影图标，无法删除，点击打开后会直接
链接至流氓网址导航。桌面环境被污染，系统信息被修改，整个电脑系统被弄得乌烟瘴气，充斥着黑色利益的
恶心猖狂。
Trojan/Win32.Agent.dxmg[Dropper]：
该恶意代码文件为恶意广告类木马，病毒运行后修改注册表项公开桌面IE浏览器，并添加多处注册表项
新建IE快捷方式，使打开IE 指定连接到广告网站，创建多个病毒VBS脚本文件到系统目录下，在桌面创建多
个URL快捷方式，强行安装世界之窗软件，以非法的推广手段获取谋利。
本地行为:
1、该病毒文件为多个BIND与捆绑组成的文件，首次运行后在% Program Files%目录下创建set目录并释放以下文件：

2、病毒衍生的文件所在目录：
%Documents and Settings%\All Users\桌面\Intenert Expleror.url
%Documents and Settings%\All Users\桌面\淘价区.url
%Documents and Settings%\All Users\桌面\免费快速高清晰电影.url
%Documents and Settings%\All Users\桌面\虎年运程.url
%Documents and Settings%\All Users\「开始」菜单\程序\启动\腾讯qq.lnk
%Documents and Settings%\All Users\「开始」菜单\程序\Intenert Expleror.url
%Documents and Settings%\All Users\「开始」菜单\Intenert Expleror.url
%Documents and Settings%\当前用户\「开始」菜单\程序\快捷方式\快捷方式.lnk
%Documents and Settings%\当前用户\「开始」菜单\程序\快捷方式\卸载快捷方式.lnk
%Documents and Settings%\当前用户\Favorites\虎年运程!!.url
%Documents and Settings%\当前用户\Favorites\最新绿色极品免费电影！高速高清！天天更新!!.url
%Documents and Settings%\当前用户\Favorites\淘宝网 - 淘！我喜欢.url
%Documents and Settings%\当前用户\Favorites\小游戏，最好玩最快的超级小游戏!!.url
%Documents and Settings%\当前用户\桌面\set.exe
%Documents and Settings%\当前用户\桌面\世界之窗.lnk
%Documents and Settings%\当前用户\桌面\超级好玩小游戏.lnk
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\Intenert Expleror.url
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\免费快速电影.url
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\淘宝网今天特价区.url
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\超级好玩小游戏.lnk
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\超级好玩小游戏.lnk
%Program Files%\Common Files\winer88.html
%Program Files%\winpiz\theeworld.exe
%Program Files%\winpiz\user.vbs
%Program Files%\winpiz\xyx.exe
%Program Files%\winpiz\3.bat
%Program Files%\winpiz\2222.vbs
%Program Files%\winpiz\dy.ico
%Program Files%\winpiz\game.ico
%Program Files%\winpiz\hwxyx.exe
%Program Files%\winpiz\Internet.vbs
%Program Files%\winpiz\mm.ico
%Program Files%\winpiz\qq.ico
%Program Files%\winpiz\setup_4846.exe
%Program Files%\winpiz\tb.ico
%Program Files%\winpiz\SeFastInstall_3135a.exe
%Program Files%\快捷方式\KKJDock.exe
%Program Files%\快捷方式\快捷方式.url
%Program Files%\快捷方式\uninst.exe
%Program Files%\快捷方式\kkjDock.cfg
%Program Files%\thenewworld\link.exe
%Program Files%\thenewworld\theeworld.exe
%Program Files%\thenewworld\TheNewWorld.ini
%Program Files%\thenewworld\hulu.exe

3、set.exe为RAR SFX捆绑文件，当它执行之后将在% Program Files%目录下创建一个winpiz目录并将文件全部释放到该目录
下，并执行2222.vbs脚本文件

2222.vbs脚本文件被执行之后将会分别调用3.bat、user.vbs、xyx.exe对系统进行恶意篡改
以上脚本执行完之后病毒在桌面创建多个URL快捷方式，并公开IE浏览器，使用虚假IE图标替换原有的IE浏览器快捷方式

4、修改、添加注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\@
新: 字符串: "%Program Files%\Internet Explorer\iexplore.exe "
描述：篡改IE，使打开IE连接到指定网站

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{C42EB5A1-0EED-E549-91B0-153485860112}\@
值: 字符串: "Internet Explorer"
描述：创建虚假IE桌面浏览器

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-
08002B30309D}
值: DWORD: 1 (0x1)
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel\{871C5380-42A0-1069-A2EA-
08002B30309D}
值: DWORD: 1 (0x1)
描述：修改注册表项公开桌面的IE浏览器

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{86AEFBE8-763F-0647-899C-A93278894D8F}\@
值: 字符串: "Intarnet Explorer"
描述：创建虚假IE桌面浏览器

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。

%Windir% 　　　　　　　　　　 WINDODWS所在目录
　　　　%DriveLetter%　　　　　　　　
逻辑驱动器根目录
　　　　%ProgramFiles%　　　　　　　系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　
当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　　　　　　　　 \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是%WINDOWS%\System
　　　　windowsXP中默认的安装路径是%system32%　

清除：
1、安天防线可彻底清除此病毒。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
您的回复，是对我最大的支持。[/backcolor]中华游戏网 cnyouw.cn