|
|
看过请回帖方便决定置顶期限
7939.com,7b.com.cn,9505.com,4199.com 清除工具
7939.com,7b.com.cn,9505.com,4199.com 这四个流氓,相信这几个月大家都看过不少
不停进行更新想逃过不少安全软件,清除工具的清除操作!
特别是9505.com,4199.com, 十分恶心!
9505.com作者还把 mopery 同 我tkabc 个空间都加到9505.com的 hosts,想阻止中招用户下载清除工具
新的变种会修改瑞星安装目录下的一个文件(RegWhite.usr)
加上有一些使用者说用不了上次的4199.com/9505.com清除工具,这几天花了点时间,看了下Microsoft Script Center,用VBS重写一下
再把 7939.com,7b.com.cn 清除加进去,方便大家
-USE IT AT YOUR OWN RISK!!!
-不好用不要见怪......
-十分感谢以下的测试人员:
hahahababy,qqbeau,bbiverson,mopery,sxqqqq,Cons,hzqedison
由于这VBS用上WMI,所以....应该只支持以下的作业系统:
-Windows 2000 Pro
-Windows XP Pro
-Windows Server 2003
暂时发现不支持的:
-Windows XP Home
使用方法:
1. 请必先卸载QQ, 因为 QQ 安装目录下的 Riched32.dll 被修改了,再运行QQ会再次中招
(如果只是想清除 7939.com,7b.com.cn ,可以跳过这步 )
2.
a) 下载 9541_KickThemOut_v1.zip 并放到桌面, 解包 (感谢 轩辕小聪 提供空间)
http://krazaf.zip.io/9541_KickThemOut_v1.zip
http://yicong.hits.io/9541_KickThemOut_v1.zip
b) 之后在桌面会多了一个 9541_KickThemOut_v1 文件夹,打开这个文件夹,运行 KickThemOut.vbs
c) 按 Yes/是 开始,之后再提示你即将开始,按 OK/确定, 桌面将会消失 (如果桌面没有消失,应该是不支持)
d) 等两至三分钟 (这时你可以去弄个泡面) , 之后会提示将要重新启动电脑, 按 OK/确定
e) 重新启动电脑后,清除就完成了!
3. 你会发现 %SYSTEMDRIVE%\Suspicious file 这个文件夹, 没有文件的可以删除了,如果有DLL文件, 欢迎提交到
john31579@yahoo.com.hk
PS: %SYSTEMDRIVE% 为环境变数,是指有 Windows/WINNT 文件夹的分区,一般是 C:\
The VBScript is written by Krazaf/tkabc
如果清除不了,可以试试旧的清除工具:
4199.com/9505.com: http://forum.ikaka.com/topic.asp?board=28&artid=8188839
|
|
IE首页被锁定为 4199.com/9505.com 的问题和修复
（转自JM，感谢 Krazaf/tkabc)
近日四处看到不少有关IE首页被锁定为 4199.com 和 9505.com 的求助.....
先来一个小分析
1. 主要透过漏洞传播,都是用上多重加密的VBS,还原后都可看到MS06-014 Downloader
2. 档案成功下载后,调用rundll32.exe运行那DLL
3. 运行后,下一个 CallWndProc Hook, 插DLL到很多进程
4. 主力是 explorer.exe 和 rundll32.exe
a) 检查更新
b) 下载Hosts档案 + 修改 Hosts 档案
c) 修改主页
d) 删除 7939.com 档案的启动项
e) 加启动项到 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
f) 修改 QQ 安装目录下的 Riched32.dll,在Import Table 加入 4199.com/9505.com的 dll, 令到运行 QQ 就会运行木马
图中是用我写的VBS检查 Riched32.dll
5. 当运行 360Safe 或者 BFU(Brute Force Uninstaller) 时,系统会被强制关机
==========================================
花了两天时间写起来的,不好用不要见怪......
同时十分感谢以下的测试人员:
bbiverson,mopery,xbs,Cons,hzqedison,魔法学徒
虽然经过本人和上面的测试人员多次测试,但不能保证用后100%不会有问题
使用方法:
1. 请先关闭你的杀软,因为杀软会报4199_9505 Fix.exe内的进程结束工具为风险软件
2. 请必先卸载QQ,因为 QQ 安装目录下的 Riched32.dll 被修改了,再运行QQ会再次中招
3.
a) 下载 4199_9505 Fix.zip 并放到桌面, 解包, 运行4199_9505 Fix.exe , 按 Extract 解包
b) 之后在桌面会多了一个4199_9505 Fix 文件夹,打开这个文件夹,运行 Fix.bat
c) 按 Y ----> 按 Enter 开始,之后会重新启动电脑
d) 重新启动电脑后,BFU会自动运行,并会提示 BFU.exe is running.....按 确定 / OK 后, 这时请不要做任何事情
请耐心等候,直到出现Finished!.....
4. 你会发现 %SYSTEMDRIVE%\Backup_tk 内有 4199.com / 9505.com 的 DLL 和 Fix的档案,删除整个 Backup_tk 文件夹就可以了
PS: %SYSTEMDRIVE% 为环境变数,是指有 Windows/WINNT 文件夹的分区,一般是 C:\
The BFU script and the batches are written by Krazaf/tkabc
下载地址：http://space.uwants.com/batch.download.php?aid=200154
常见问题:
Q: 重启之后没有反应,没出现 BFU.exe is running??
A: 重启之后如果没有反应,请到%SYSTEMDRIVE%\backup_tk
运行 bfu.exe ,按 文件夹 的图标选取 fix.bfu,按 Execute 开始,.....
如果你运行4199_9505 Fix.exe会被强制关机,请使用Zip version
http://space.uwants.com/batch.download.php?aid=200438
什么是 %SYSTEMDRIVE% ?
你的系统放在哪个分区,%SYSTEMDRIVE%就会是那个.....
eg. 我的系统装在 C:\ ,那backup_tk就会在 C:\Backup_tk
病毒扫描结果
STATUS: FINISHED
Complete scanning result of "4199_9505_Fix.zip", received in VirusTotal at 10.11.2006, 18:03:01 (CET).
Antivirus
| Version | Update | Result | | AntiVir | 7.2.0.25 | 10.11.2006 [td]no virus found | | Authentium | 4.93.8 | 10.11.2006 [td]no virus found | | Avast | 4.7.892.0 | 10.11.2006 [td]no virus found | | AVG | 386 | 10.11.2006 [td]no virus found | | BitDefender | 7.2 | 10.11.2006 [td]no virus found | | CAT-QuickHeal | 8.00 | 10.11.2006 [td]no virus found | | ClamAV | devel-20060426 | 10.11.2006 [td]no virus found | | DrWeb | 4.33 | 10.11.2006 [td]no virus found | | eTrust-InoculateIT | 23.73.19 | 10.11.2006 [td]no virus found | | eTrust-Vet | 30.3.3127 | 10.11.2006 [td]no virus found | | Ewido | 4.0 | 10.11.2006 [td]no virus found | | Fortinet | 2.82.0.0 | 10.11.2006 [td]no virus found | | F-Prot | 3.16f | 10.11.2006 [td]no virus found | | F-Prot4 | 4.2.1.29 | 10.11.2006 [td]no virus found | | Ikarus | 0.2.65.0 | 10.11.2006 [td]no virus found | | Kaspersky | 4.0.2.24 | 10.11.2006 [td]no virus found | | McAfee | 4870 | 10.10.2006 [td]no virus found | | Microsoft | 1.1603 | 10.11.2006 [td]no virus found | | NOD32v2 | 1.1797 | 10.10.2006 [td]no virus found | | Norman | 5.80.02 | 10.11.2006 [td]no virus found | | Sophos | 4.10.0 | 10.05.2006 [td]no virus found | | TheHacker | 6.0.1.095 | 10.11.2006 [td]no virus found | | UNA | 1.83 | 10.10.2006 [td]no virus found | | VBA32 | 3.11.1 | 10.11.2006 [td]no virus found | | VirusBuster | 4.3.7:9 | 10.11.2006 [td]no virus found |
Aditional Information
| | File size: 343661 bytes | | MD5: f3f57c5208ddb874517db7ff08302798 | | SHA1: 34fffa905860c84933acedec2fc91802bbf2f358 | | packers: UPX, UPX |
[ 本帖最后由 ALEXBLAIR 于 2007-1-8 20:07 编辑 ] |
|
发表于 2006-10-11 01:47:32
发表于 2006-10-11 21:09:28
