Board logo

标题: 清理助手与微点冲突？（经查为驱动级流氓引起） [打印本页]
作者: kinas299     时间: 2009-2-25 15:32    标题: 清理助手与微点冲突？（经查为驱动级流氓引起）

有图为证，计算机之中只安装了东方微点主动防御软件
微点主动防御软件  试用版
程序版本： 1.2.10580.0171
特征版本： 1.6.1024.090224
更新时间： 2009-02-24 16:17:48
图一
http://mpicture.micropoint.com.c ... f285f61509bd8ab04c0

图二
http://mpicture.micropoint.com.c ... 89b351e343abbb4be38

[ Last edited by kinas299 on 2009-2-25 at 17:53 ]
作者: 凡间幽灵     时间: 2009-2-25 16:04
看了帖子和图片后，只有一个感觉，套用《疯狂的石头》上宁浩的话：你是不是脑袋被门框挤了？
作者: kinas299     时间: 2009-2-25 17:50    标题: 回复2楼

当时是这样考虑的：电脑只安装了微点，那个入口点错误也怀疑是微点引起，所以才会怀疑windows清理助手和微点冲突。（欠考虑......）
后来经过自己查证是一个恶意网站kzxf.com 的驱动引起的（手动清除后，windows清理助手正常运行）
具体的过程由于经过很多种尝试中间过程就没有截图了
http://mpicture.micropoint.com.c ... 993d69f86508f4822eb
PS:微点是在朋友电脑中毒后，帮其安装上去的，恶意网站kzxf.com 也是在之前中的。

[ Last edited by kinas299 on 2009-2-25 at 17:58 ]
作者: kinas299     时间: 2009-2-25 18:04    标题: 转载网上关于驱动级流氓的清除思路

现在驱动级的广告恶意软件越来越多了，昨天晚上不知道怎么回事就中了这个http://kzxf.com/，查找了N久，弄到晚上10点多也没有找到它的出处，无奈只好放弃到今天早上来修复它。
　　首先，怎么也没有想到的是现在的广告网站居然变成了孔子学府，不知道这样的网站做AdWare有什么用呢？经过多次的更改系统主页，再被此AdWare改回来的失败之后，想到了用注册表监视工具对付它的方法，到网上下载NTRegMon工具，点击Options>Filter/HighLigth...，在弹出设置窗口中Include后面填入：
Code:
HKCU\Software\Microsoft\Internet Explorer\Main\Start Page
此键值为注册表中IE开始页面地址。
RegMon列出的信息表明为每隔几秒钟，进程:system（进程ID：4）即重写一次此键，值为：http://kzxf.com/
System进程为系统主进程，看来是该病毒以驱动方式加载的，打开工具：Process Explorer，点击System，在下面窗口中，发现可疑模块C:\WINDOWS\system32\drivers\dzvjop08.sys，及C:\WINDOWS\system32\drivers\ocjkyo19.sys，右击，选择“关闭句柄”，此模块关闭，在设备管理器中，查看>显示隐藏>在非即插即用中，找到这两个，右击，选择卸载，重新启动电脑，问题解决！
右击复制出来的dzvjop08.sys，发现其属性已经改的和微软自带的模块差不多了，在偶计算机上唯一的漏洞就是版本号不对，此文件为：5.00.2195.5438，而偶地系统为win2003SP1，这个版本的系统模块肯定不会出现在偶地计算机上。
感谢iamccf 的留言,他发现了此病毒系随机生成文件名,但有个特征就是后两位是数字,所以你只要在设备管理器里面找后两位是数字的即可.
用UltraEdit打开此文件，发现了http://kzxf.com/关键字符。



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn