ytxkkpq.exe u盘病毒！[MD5: ACE330] 有人发过了

remind_me

NOD32不报（不知道开没开高启发），
avast不报
dr.web 4.44 绿色版不报
卡巴斯基报autorun病毒。

该病毒，映像劫持+系统属性隐藏，随机启动，有守护程序，锁定隐藏。。。

清理了一个小时，终于干掉了。。。
病毒创建文件：
c:\program files\common files\microsoft shared\noigxye.exe
c:\program files\common files\system\unplqnh.exe

每个盘符下都有autorun.inf ytxkkpq.exe。

清理方法：
用pe系统清理文件，autoruns清理映像劫持，sre清理注册表锁定，其中用到icesword找文件路径。

呃，搞定了。。。

有人说，有专杀，
代码如下，可惜我没用到，因为同学的机器好奇怪，一进安全模式就蓝屏。
attrib -s -h c:\*.*
attrib -s -h d:\*.*
attrib -s -h e:\*.*
attrib -s -h f:\*.*
attrib -s -h g:\*.*
del c:\autorun.inf
del c:\ytxkkpq.exe
del d:\autorun.inf
del d:\ytxkkpq.exe
del e:\autorun.inf
del e:\ytxkkpq.exe
del f:\autorun.inf
del f:\ytxkkpq.exe
del g:\autorun.inf
del g:\ytxkkpq.exe
del c:\program files\common files\microsoft shared\noigxye.exe
del c:\program files\common files\system\unplqnh.exe
pause


样本：


[ 本帖最后由 remind_me 于 2007-6-24 21:02 编辑 ]

The EQs

nod32的确不报。。。。。。

小邪邪

scottxzt

Is the Trojan horse TR/Crypt.NSPI.Gen

红心王子

斧头不报

ghsy_2007

修改一下注册表，他就劫持不到了。

aerbeisi

这个是昨天一位网友发的病毒的生成物，没记错的应该是promised发的

taihuxian

Virus: Virus.Win32.AutoRun.cv

Virus found while downloading Web content.

Address: bbs.kafan.cn

aziok

伞TR/Crypt.NSPI.Gen

promised

?         Copyright (c) 1993-2007 by VBA Ltd.           ?
酝屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯图
License expired
License #000000119 Valid till 2006-12-31
Demo mode
Command line options:
/r=susp.rpt /ha=3 /collect_suspects /nc /af+ /ar+ /bt- /mr- /ml+ /rw+ /as-
Ctrl-C will terminate program execution
*:
C:\
C:\ABC\ytxkkpq.rar:<RAR>\ytxkkpq.exe : infected Trojan-PSW.Win32.OnLineGames.rt
Program execution terminated by user

Directories       : 2       Files in archives:      Files on disks:
Archives:                   - total       : 1       - total       : 1
- scanned         : 0       -  scanned    : 1       - scanned     : 1
- contain viruses : 1       -  infected   : 1       - infected    : 1
- deleted         : 0       -  suspicious : 0       - suspicious  : 0
Startup    : 19:56:32 24-06-2007
End        : 19:56:35 24-06-2007
Total time : 00:00:03
终止批处理操作吗(Y/N)?