wmsetup.dll,ravupdate.dat,framdee.ttf的清除

        这个病毒,是一个下载者来的,主要是下载当前最为流行的盗密码的Trojan-GameThief.Win32.OnLineGames病毒。
     这个病毒的几个主要行为特点:
1,感染%SystemRoot%\system32\actxprxy.dll,实现自启动。正常actxprxy.dll大概77K左右,感染后为100k。
2,释放病毒文件%ProgramFiles%\Messenger\msgmr.dll,注册表添加启动项ShellServiceObjectDelayLoad。过数字签名。
3,%SystemRoot%\fonts\framdee.ttf为的下载者的主体文件,驱动隐藏,在icesword中可以发现它的踪迹和强制删除,它主要是下载OnLineGames的病毒文件。访问http://60.191.223.14/pic/下载病毒,全部以1.gif,2.gif,3.gif等伪装。
4,actxprxy.dll加载到explorer.exe后会访问116.252.185.15下载%temp%\wmsetup.dll,%temp%\ravupdate.dat这2个文件,注入explorer.exe和svchost.exe。ravupdate.dat的作用是确保%ProgramFiles%\Messenger\msgmr.dll这个启动项,此dll作用不清楚。

由于最开始已经删除了很多,所以这个病毒分析的很粗糙。初步的解决办法:
1,切记首先一定要断网。
2,
清除下列程序:
%temp%\wmsetup.dll
%temp%\ravupdate.dat
%SystemRoot%\temp\wmsetup.dll
%SystemRoot%\temp\ravupdate.dat
%SystemRoot%\apppatch\desktopwin.dll
%SystemRoot%\system32\drivers\eth8023.sys
%SystemRoot%\fonts\framdee.ttf
%ProgramFiles%\Messenger\msgmr.dll

最先用XDelBoxX干掉eth8023.sys,然后用icesword强制删除掉framdee.ttf。其他程序用XDelBoxX或费尔清除即可。由于windows清理助手还不能清除这个病毒,可以试试这个脚本
下载文件 点击下载脚本
放到助手的ini文件夹下扫描就可以了。

3,删除掉被感染的%SystemRoot%\system32\actxprxy.dll和%SystemRoot%\system32\dllcache\actxprxy.dll

把正常的文件复制还原。
下载文件 点击下载actxprxy.dll

wmsetup病毒样本:
纳米下载地址

以下说明属本文之一部分:
转载请保持完整并注明:转自 金刀客[www.daokers.com]


[本日志由 金刀客 于 2009-12-30 11:26 AM 编辑]
相关日志:
在线RSS阅读器订阅:
feedsky
抓虾 pageflakes Rojo google reader
my yahoo newsgator bloglines 有道
鲜果 飞豆 哪吒 Netvibes
Netvibes Netvibes

手机订阅:


本站订阅地址:
RSS2:点击复制
Atom:点击复制
        本站所有原创文章均遵循 [创作共用协议]
        本站原创文章可以转载,但须保持完整性并注明出处。
        COPYRIGHT 2008-2010  §  HTTP://WWW.DAOKERS.COM  §    ALL RIGHTS
评论: 0 | 引用: 0 | 查看次数: -
发表评论
昵 称:
密 码: 游客发言不需要密码.
验证码: 验证码提示:单击自动获取验证码
内 容:
最多可输入,当前共,还可输入
选 项:
虽然发表评论不用注册,但是为了保护您的发言权,建议您注册帐号.