» 游客:  注册 | 登录 | 帮助  微点交流论坛 » 微点主动防御软件 » backdoor.win32.hupigon.sy木马怎么杀不了？   作者: 标题: backdoor.win32.hupigon.sy木马怎么杀不了？ lanjun 新手上路 积分 14 发帖 14 注册 2006-7-2 #1  backdoor.win32.hupigon.sy木马怎么杀不了？ 时间        处理结果        木马名称        木马进程名        木马文件创建者 2006-08-11 22:59:41        用户取消        未知木马        C:\WINNT\WEBWORK\WEBWORK.NLS        2006-08-11 22:52:49        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.NLS        C:\WINNT\WEBWORK\WEBWORK.DLL 2006-08-11 22:52:49        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.DLL        2006-08-11 22:42:59        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.NLS        C:\WINNT\WEBWORK\WEBWORK.DLL 2006-08-11 22:42:59        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.DLL        2006-08-11 22:18:17        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.NLS        C:\WINNT\WEBWORK\WEBWORK.DLL 2006-08-11 22:18:17        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.DLL        2006-08-11 22:10:29        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.NLS        C:\WINNT\WEBWORK\WEBWORK.DLL 2006-08-11 22:10:29        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\WEBWORK\WEBWORK.DLL        2006-08-10 07:27:53        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\SYSTEM32\ALSMT.EXE        C:\PROGRAM FILES\MMSASSIST\ALBUS.DLL 2006-08-10 07:27:52        删除木马文件失败        Backdoor.Win32.Hupigon.sy        C:\PROGRAM FILES\MMSASSIST\ALBUS.DLL        2006-08-10 07:27:39        处理成功        Backdoor.Win32.Hupigon.sy        C:\WINNT\SYSTEM32\DRIVERS\ALBUS.SYS        C:\PROGRAM FILES\MMSASSIST\ALBUS.DLL 2006-08-10 07:27:38        删除木马文件失败        Backdoor.Win32.Hupigon.sy        C:\PROGRAM FILES\MMSASSIST\ALBUS.DLL        2006-08-09 11:41:10        处理成功        未知木马        C:\WINNT\TEMP\INSTALL.EXE        C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE 2006-08-09 11:30:41        处理成功        未知木马        C:\WINNT\TEMP\INSTALL.EXE        C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE 2006-08-09 11:26:49        处理成功        未知木马        C:\PROGRAM FILES\BAIGOO\UNINST.EXE        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:49        处理成功        未知木马        C:\PROGRAM FILES\BAIGOO\BGOOBHO.DLL        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:48        处理成功        未知木马        C:\PROGRAM FILES\BAIGOO\BGOOEX.DLL        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:42        处理成功        未知木马        C:\PROGRAM FILES\BAIGOO\BGOOK.DLL        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:42        杀木马失败        未知木马        C:\PROGRAM FILES\BAIGOO\BGOOMAIN.EXE        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:41        处理成功        未知木马        C:\PROGRAM FILES\BAIGOO\BGOOHK.DLL        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:38        处理成功        未知木马        C:\PROGRAM FILES\BAIGOO\PLUGIN\BGOOBAR\BGOOBAR.DLL        C:\WINNT\TEMP\INSTALL.EXE 2006-08-09 11:26:36        处理成功        未知木马        C:\WINNT\TEMP\INSTALL.EXE        C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE 以上是木马日志！请高手指点指点该怎么杀这个Backdoor.Win32.Hupigon.sy ※ ※ ※ 本文纯属【lanjun】个人意见，与【 微点交流论坛 】立场无关※ ※ ※ 穿别人的鞋，走自己的路，让他们找去吧！ 2006-8-11 23:21 Legend 超级版主 超级版主 积分 77171 发帖 70170 注册 2005-10-29 #2   请把这个程序文件发到我们的邮箱：virus@micropoint.com.cn 另外：建议用户在微点准确判定为病毒并弹出报警框时请不要取消，谢谢。 ※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※ 微点官方认证新浪微博：欢迎进入 微点新浪微博 微点技术支持邮箱: support@micropoint.com.cn 给Legend发短消息 2006-8-11 23:25 lanjun 新手上路 积分 14 发帖 14 注册 2006-7-2 #3   已经发过去了 请帮我处理下 拜谢！ ※ ※ ※ 本文纯属【lanjun】个人意见，与【 微点交流论坛 】立场无关※ ※ ※ 穿别人的鞋，走自己的路，让他们找去吧！ 2006-8-11 23:48 Legend 超级版主 超级版主 积分 77171 发帖 70170 注册 2005-10-29 #4   谢谢您提供的信息，我们会做进一步的测试分析。 ※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※ 微点官方认证新浪微博：欢迎进入 微点新浪微博 微点技术支持邮箱: support@micropoint.com.cn 给Legend发短消息 2006-8-11 23:52 paopaogege 注册用户 积分 60 发帖 60 注册 2006-8-8 #5   杀毒软件定义为Backdoor.Win32.Hupigon.sy 彩信通安装目录里第一个文件夹有个.ini文件，它自动从http://update.borlander.cn/updmms/mmsass.cab下载插件包，包里有albus.dll文件，UPX 0.80 - 1.24的壳，脱掉用16位进制软件打开发现这个垃圾插件利用HOOK技术插入到explorer和iexplore中，开机就在后台自动运行 安全模式下，右键我的电脑－管理－服务－禁用jmediaservice服务，删除C:\windows\system32下的Albus.DAT，删除C:\WINDOWS\SYSTEM32\DRIVERS下的Albus.SYS，删除彩信通的安装文件夹，开始－运行－regedit-查找所有MMSAssist并删除，如果怕注册表还有彩信通的垃圾存在，下载个HijackThis扫下注册表再一一删除。 ※ ※ ※ 本文纯属【paopaogege】个人意见，与【 微点交流论坛 】立场无关※ ※ ※ 2006-8-15 00:21 paopaogege 注册用户 积分 60 发帖 60 注册 2006-8-8 #6   不知道LZ说的是不是这个呵呵...如果搞不定也许可以找我帮帮忙...哈哈 ※ ※ ※ 本文纯属【paopaogege】个人意见，与【 微点交流论坛 】立场无关※ ※ ※ 2006-8-15 00:23 lanjun 新手上路 积分 14 发帖 14 注册 2006-7-2 #7   谢谢paopaogege 我这就试试看！ ※ ※ ※ 本文纯属【lanjun】个人意见，与【 微点交流论坛 】立场无关※ ※ ※ 穿别人的鞋，走自己的路，让他们找去吧！ 2006-8-15 20:52 lanjun 新手上路 积分 14 发帖 14 注册 2006-7-2 #8   终于可以松口气了！ 使用兔子先把MMSAssist卸载！但是一开机微点还是提示发现未知木马衍生物C:\WINNT\WEBWORK\WEBWORK.NLS ，头疼中…… 首先使用paopaogege兄提供的方法但未找到Albus.DAT和Albus.SYS。此时想起微点的“程序生成日志”在里不难看出其罪魁祸首是一个名为C：\~DE1.TMP的文件，但在C盘根目录下未找到~DE1.tmp 看来幕后真凶凭我这种非专业人士是找不到的了（怀疑为远程攻击，  这个文件是由那边控制生成的 仔细想想，他要利用到~DE1.tmp  这个文件  我就在这里建立一个 ~DE1.tmp   占着这个文件名  不给他生成  并把其设置为只读，重新启动。微点没有报毒！在查C:\WINNT下未生成WEBWORK文件夹，一切搞定！ 在次特别感谢各位的帮助。尤其微点管理员383154254和paopaogege兄的帮助，希望以后能再多多指教！ ※ ※ ※ 本文纯属【lanjun】个人意见，与【 微点交流论坛 】立场无关※ ※ ※ 穿别人的鞋，走自己的路，让他们找去吧！ 2006-8-15 23:37 论坛跳转: 微点软件公测区 安全快报  > 病毒快报  > 漏洞快报 微点产品在线技术支持  > 微点主动防御软件  > 预升级反馈专区  > 微点杀毒软件 微点用户交流区  > 微点新闻  > 微点软件使用交流  > 微点茶室 安全技术交流区  > 主动防御  > 反病毒  > 防火墙 综合区  > 电脑&数码  > 体育&娱乐&休闲  > 灌水区 版务管理 内部使用专区  可打印版本 | 推荐 | 订阅 | 收藏 [ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司 闽ICP备05030815号