遭遇krnln.fnr,com.run,shell.fne,dp1.fne,eAPI.fne,internet.fne,RegEx.fnr,spec.fne等

tongyi007

遭遇krnln.fnr,com.run,shell.fne,dp1.fne,eAPI.fne,internet.fne,RegEx.fnr,spec.fne等

　　　　一位网友说他的电脑可能中病毒了，症状为把U盘中的文件夹改名后再双击，就提示找不到文件夹。
　　　　通过ＱＱ远程协助，先检查U盘，发现了文件夹变EXE文件的病毒。删除EXE文件病毒，再去除被病毒隐藏的文件夹的隐藏和系统属性。
　　　　再用pe_xscan扫描电脑，生成系统日志并分析，发现如下可疑项：
　　

　　pe_xscan 10-07-04 by Purple Endurer
2010-9-25 20:54:33
Windows XP Service Pack 3(5.1.2600)
MSIE:6.0.2900.5512
管理员用户组
正常模式
C:\WINDOWS\explorer.exe * 1596| 2008-4-14 20:0:0
C:\Program Files\FreeLaunchBar\flb.dll| 2010-7-22 10:14:49|Free Launch Bar|1.0.0.0|Free Launch Bar|版权所有(C)2001-2004 TrueSoft|1.0.0.0|TrueSoft|Free Launch Bar|FreeLaunchBar|flb.dll
C:\WINDOWS\system32\spoolsv.exe*1656| 2010-8-17 21:17:6
C:\WINDOWS\system32\EC4698\0246EF.EXE * 1844| 2010-8-16 9:17:9
C:\WINDOWS\system32\EC4698\krnln.fnr| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\com.run| 2010-8-3 14:58:26|com Dynamic Link Library|1, 0, 0, 1|com DLL|版权所有 (C) 2004|1, 0, 0, 1|||com|com.DLL
C:\WINDOWS\system32\EC4698\shell.fne| 2010-8-16 9:17:9
C:\WINDOWS\system32\EC4698\dp1.fne| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\eAPI.fne| 2010-8-16 9:17:9
C:\WINDOWS\system32\EC4698\internet.fne| 2010-8-3 14:58:26|internet Dynamic Link Library|1, 0, 0, 1|internet DLL|版权所有 (C) 2002|1, 0, 0, 1|||internet|internet.DLL
C:\WINDOWS\system32\EC4698\RegEx.fnr| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\spec.fne| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\PV718346.EXE*3988| 2010-9-25 8:18:52
C:\WINDOWS\system32\EC4698\krnln.fnr| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\eAPI.fne| 2010-8-16 9:17:9
C:\WINDOWS\system32\EC4698\dp1.fne| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\W65C5EF7.EXE*1948| 2010-9-25 8:18:53
C:\WINDOWS\system32\EC4698\krnln.fnr| 2010-8-3 14:58:26
C:\WINDOWS\system32\EC4698\eAPI.fne| 2010-8-16 9:17:9
C:\WINDOWS\system32\EC4698\dp1.fne| 2010-8-3 14:58:26


　　O2 - IeAddOn(JsObject Class) - {11CC93E4-0BE6-4f8f-82AA-D577FB955B05}
=C:\Program Files\Baidu\AddressBar\AddressBar.dll
O4 - HKLM\..\run: [0246EF]C:\WINDOWS\system32\EC4698\0246EF.EXE
O4 - Startup:0246EF.lnk->C:\WINDOWS\system32\EC4698\0246EF.EXE


　　HKLM\SHOWALL 值非1

　　
　　到 http://purpleendurer.ys168.com 下载了FileInfo 和bat_do。 用bat_do 把病毒文件打包，用FileInfo 提取病毒文件信息。
　　　　网友电脑中只装有QQ软件管家，没有杀毒软件，于是想到瑞星网站下载安装，不料瑞星网站首页总是无法显示，估计是被病毒屏蔽了，后面清除病毒后就能正常打开了。
　　　　再试试金山毒霸网站，可以正常打开，发现上面有个完全免费的“金山毒霸技术预览版”，才10.4 MB，试试看。
　　　　居然具有一些系统修复功能，可惜有修复效果不尽如人意，比如：

　　　　O4 - Startup: 0246EF.lnk -> C:\WINDOWS\system32\EC4698\0246EF.EXE

　　　　在查杀完成并重启电脑后还在，只好手动清除。
　　　　另外就是误报，把我的FileInfo也当成恶意程序了，IceSword也未能幸免。
　　
　　附部分恶意文件信息：
　　文件说明符 : C:\WINDOWS\system32\EC4698\0246EF.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-16 9:17:9
修改时间 : 2010-8-16 9:17:9
大小 : 114176 字节 111.512 KB
MD5 : fec7a8d7fd20f96995cc3d571d2448ec
SHA1: DA92FD20B44F084358F2FE00B2D0DDC531792FF7
CRC32: 70003d06
　　


文件说明符 : C:\WINDOWS\system32\EC4698\krnln.fnr
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:25
大小 : 1101824 字节 1.52 MB
MD5 : d98daa3910ff67c67ecd6eb234690fa6
SHA1: 2FBC167EA2AB1B83E0FEE1F83EBB1C55CE27E553
CRC32: 14c9503b

文件说明符 : C:\WINDOWS\system32\EC4698\com.run
属性 : -SH-
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1, 0, 0, 1
说明 : com DLL
版权 : 版权所有 (C) 2004
产品版本 : 1, 0, 0, 1
产品名称 : com Dynamic Link Library
内部名称 : com
源文件名 : com.DLL
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:26
大小 : 266240 字节 260.0 KB
MD5 : ce2f773275d3fe8b78f4cf067d5e6a0f
SHA1: B7135E34D46EB4303147492D5CEE5E1EF7B392AB
CRC32: f2b03db9

文件说明符 : C:\WINDOWS\system32\EC4698\shell.fne
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-16 9:17:9
修改时间 : 2010-8-16 9:17:8
大小 : 40960 字节 40.0 KB
MD5 : 6252f4ed0e19019c65aebafe47fdabaa
SHA1: EFE5D416D749C27960496CC842E65E70B05393C7
CRC32: aed60996

文件说明符 : C:\WINDOWS\system32\EC4698\dp1.fne
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:25
大小 : 114688 字节 112.0 KB
MD5 : ce2f031c754188a1e44f3a192e64cde7
SHA1: 7C24B3F551F52B829E838A792F7F8EF38B804284
CRC32: a69e274f

文件说明符 : C:\WINDOWS\system32\EC4698\eAPI.fne
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-16 9:17:9
修改时间 : 2010-8-16 9:17:8
大小 : 323584 字节 316.0 KB
MD5 : cd343dd62be7a89a164b19819b7d5808
SHA1: D67E9D2289A8C6B4A7EEEF909F1F841AE15ABBF9
CRC32: 225f6262

文件说明符 : C:\WINDOWS\system32\EC4698\internet.fne
属性 : -SH-
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1, 0, 0, 1
说明 : internet DLL
版权 : 版权所有 (C) 2002
产品版本 : 1, 0, 0, 1
产品名称 : internet Dynamic Link Library
内部名称 : internet
源文件名 : internet.DLL
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:26
大小 : 184320 字节 180.0 KB
MD5 : 299c26fb72a3d286cc24c4a9a9a4a693
SHA1: ACC3292D9D0534124675FFA6C6B336E1F25F4E30
CRC32: 191a6c3a

文件说明符 : C:\WINDOWS\system32\EC4698\RegEx.fnr
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:26
大小 : 217088 字节 212.0 KB
MD5 : a67daddcb30335163cf7d99f282f5ae0
SHA1: C033169006BEF68BEBFA77405C4A35688AB41A99
CRC32: 6e8cc79c

文件说明符 : C:\WINDOWS\system32\EC4698\spec.fne
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:26
大小 : 69632 字节 68.0 KB
MD5 : 8985d73f08638b4b48ecd30759c9e53f
SHA1: 400A90C9EABEB94AE05E5036E21DC922B0C1FFAD
CRC32: fac44b10


文件说明符 : C:\WINDOWS\system32\EC4698\9UN68.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-8 10:47:9
修改时间 : 2010-8-8 10:47:9
大小 : 14848 字节 14.512 KB
MD5 : 541088f60a19f6e417cac50b2c2d79d2
SHA1: BFE1C09A42C0838B5ECAAE6F0C8D77D0AE89B369
CRC32: cbc95d60

文件说明符 : C:\WINDOWS\system32\EC4698\WH44714B.EXE
同 C:\WINDOWS\system32\EC4698\9UM68.EXE


文件说明符 : C:\WINDOWS\system32\EC4698\9UM68.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-24 8:55:27
修改时间 : 2010-9-18 8:1:59
大小 : 14848 字节 14.512 KB
MD5 : ca3f4315bca7460f9df8589b0eb36360
SHA1: BDB67716CF91F72DDEB2234814294D59BC2DBE72
CRC32: fd1c85e5

ca3f4315bca7460f9df8589b0eb36360---9UM68.EXE


文件说明符 : C:\WINDOWS\system32\EC4698\Z8CDAC38.EXE
同C:\WINDOWS\system32\EC4698\9UN68.EXE


文件说明符 : C:\WINDOWS\system32\EC4698\VC-WL8.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-3 15:4:59
修改时间 : 2010-8-8 15:35:50
大小 : 14336 字节 14.0 KB
MD5 : fa35d4e9867489c581ee263ad77d8e96
SHA1: 63A93A8FC37B3C792356F8F73BFFDC7B5F569671
CRC32: 76094d83

卡巴斯基报为：Trojan.Win32.FlyStudio.uj，瑞星报为：Trojan.Win32.Generic.520C5658

文件说明符 : C:\WINDOWS\system32\EC4698\VV6F2450.EXE
同 C:\WINDOWS\system32\EC4698\VC-WL8.EXE


文件说明符 : C:\WINDOWS\system32\EC4698\cnvpe.fne
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-3 14:58:26
修改时间 : 2010-8-3 14:58:25
大小 : 61440 字节 60.0 KB
MD5 : ad05921e0c3d85fd065df25b42ac7685
SHA1: E6802FD48478DB7234CD82F79E9B4D00B51D6D1D
CRC32: 90e60753


文件说明符 : C:\WINDOWS\system32\EC4698\VC-G8.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-16 9:23:37
修改时间 : 2010-8-23 15:40:30
大小 : 13312 字节 13.0 KB
MD5 : 4de97ffb8d44d3225971b08170a47961
SHA1: 3FC8285D9C3B606BA21FBC366E7F2B94F8A9E62C
CRC32: 324028f8

卡巴斯基报为：Trojan.Win32.FlyStudio.uj，瑞星报为：Trojan.Win32.Generic.5226A7A6

文件说明符 : C:\WINDOWS\system32\EC4698\TC-G9.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-24 8:55:27
修改时间 : 2010-9-13 8:11:51
大小 : 13312 字节 13.0 KB
MD5 : 09acefe66d8cf177462a81ab2f2b955a
SHA1: 2CC8C6D8A2BACECC49EE3BA4F554BD736F867E25
CRC32: 9c4356cc

卡巴斯基报为Trojan.Win32.FlyStudio.uj，瑞星报为 Trojan.Win32.Generic.522A0EF0

文件说明符 : C:\WINDOWS\system32\EC4698\NV5952B3.EXE
同 C:\WINDOWS\system32\EC4698\TC-G9.EXE


文件说明符 : C:\WINDOWS\system32\EC4698\TC-GP.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-9-14 9:2:43
修改时间 : 2010-9-25 8:18:52
大小 : 12800 字节 12.512 KB
MD5 : de987157d620191f09dd9c6b69459eac
SHA1: FFBABEDD3E355751CCAD4BC5BDB631581F1C0183
CRC32: c2e3b01e

瑞星报为 Trojan.Win32.Generic.5231FF7F

文件说明符 : C:\WINDOWS\system32\EC4698\PV718346.EXE
同 C:\WINDOWS\system32\EC4698\TC-GP.EXE


文件说明符 : C:\WINDOWS\system32\EC4698\9UM78.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-9-20 11:19:19
修改时间 : 2010-9-25 8:18:52
大小 : 14848 字节 14.512 KB
MD5 : 0a244a1b2478af8c580c805cc394f1c1
SHA1: F14DCDAE117F36634E8D683D8D7B205C1C0CE991
CRC32: 1b53050c


瑞星报为 Trojan.Win32.Generic.523389F9

文件说明符 : C:\WINDOWS\system32\EC4698\W65C5EF7.EXE
同　　　　 C:\WINDOWS\system32\EC4698\9UM78.EXE