查杀木马 QQ电脑管家 vs. 金山卫士

绝地灬酷狼 2024-02-17 19:47 64阅读 0赞

电脑里安装QQ电脑管家本来只是为了QQ等级加速，今天偶然试了一下这位管家的查杀木马功能。结果有点雷人：

![01-QQ电脑管家4.5(2011-02-26)木马扫描结果][01-QQ_4.5_2011-02-26]

01-QQ电脑管家4.5(2011-02-26)木马扫描结果

用FileInfo提取文件信息：

> 文件说明符 : D:/■■■■■■■/数据恢复/EasyRecovery/EasyRecovery.exe  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 语言 : 中文(中国)  
> 文件版本 : 1.00.27.51  
> 说明 : EasyRecovery  
> 版权 : 版权所有 (c) 2001-2002 Ontrack Data Recovery Inc.  
> 产品版本 : 6.10.07  
> 产品名称 : ONTRACK EasyRecovery Professional  
> 公司名称 : Ontrack Data Recovery Inc.  
> 合法商标 : EasyRecovery Professional 是 Ontrack Data Recovery Inc. 的商标  
> 内部名称 : EasyRecovery  
> 源文件名 : EasyRecovery.exe  
> 创建时间 : 2009-6-30 17:36:21  
> 修改时间 : 2009-2-26 20:57:34  
> 大小 : 198144 字节 193.512 KB  
> MD5 : d17a1eb904ba666bc82949f21113d721  
> SHA1: 44C909E29A1288AF1D07C13DD7B5BC308E01620D  
> CRC32: a1a82498
> 
> 文件说明符 : C:/Program Files/Lenovo/隐藏分区管理/sysdll/RebootSystem1.exe  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 获取文件版本信息大小失败!  
> 创建时间 : 2006-4-3 15:10:28  
> 修改时间 : 2004-11-2 11:9:10  
> 大小 : 172116 字节 168.84 KB  
> MD5 : 076bff16a7500e14d9855c832ac5429b  
> SHA1: AAA4DFA684A69175F2CD4891AB619971CBF29A4B  
> CRC32: 64d95dae
> 
>   
> 文件说明符 : C:/WINDOWS/system32/drivers/lnrmjrri.sys  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 获取文件版本信息大小失败!  
> 创建时间 : 2010-9-23 9:37:44  
> 修改时间 : 2010-9-23 9:37:46  
> 大小 : 29184 字节 28.512 KB  
> MD5 : 405ffd5b45d7fea1fd97086e8d33c585  
> SHA1: C602A4AF880A99A07FE3DA52BB70E226902DABCA  
> CRC32: fd9468d5
> 
>   
> 文件说明符 : C:/WINDOWS/system32/drivers/hcrnfnqo.sys  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 获取文件版本信息大小失败!  
> 创建时间 : 2010-9-23 9:3:30  
> 修改时间 : 2010-9-23 9:3:32  
> 大小 : 29184 字节 28.512 KB  
> MD5 : 405ffd5b45d7fea1fd97086e8d33c585  
> SHA1: C602A4AF880A99A07FE3DA52BB70E226902DABCA  
> CRC32: fd9468d5
> 
> 文件说明符 : C:/WINDOWS/system32/drivers/nsuoktre.sys  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 获取文件版本信息大小失败!  
> 创建时间 : 2010-9-23 9:3:1  
> 修改时间 : 2010-9-23 9:3:2  
> 大小 : 29184 字节 28.512 KB  
> MD5 : 405ffd5b45d7fea1fd97086e8d33c585  
> SHA1: C602A4AF880A99A07FE3DA52BB70E226902DABCA  
> CRC32: fd9468d5
> 
>   
> 文件说明符 : C:/WINDOWS/system32/drivers/ugijuors.sys  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 获取文件版本信息大小失败!  
> 创建时间 : 2010-9-23 9:2:39  
> 修改时间 : 2010-9-23 9:4:38  
> 大小 : 29184 字节 28.512 KB  
> MD5 : 405ffd5b45d7fea1fd97086e8d33c585  
> SHA1: C602A4AF880A99A07FE3DA52BB70E226902DABCA  
> CRC32: fd9468d5
> 
>   
> 文件说明符 : C:/WINDOWS/system32/drivers/rtsdjcbu.sys  
> 属性 : A---  
> 数字签名:否  
> PE文件:是  
> 获取文件版本信息大小失败!  
> 创建时间 : 2010-9-23 9:2:2  
> 修改时间 : 2010-9-23 9:5:38  
> 大小 : 29184 字节 28.512 KB  
> MD5 : 405ffd5b45d7fea1fd97086e8d33c585  
> SHA1: C602A4AF880A99A07FE3DA52BB70E226902DABCA  
> CRC32: fd9468d5

头两个明显是误报，后面5个sys文件的内容居然是完全相同的。

对5个sys文件按文件名google，只有rtsdjcbu.sys 可以google到：

【跟进中】\[Rootkit病毒\]Win32/Small.NMC - 木马查杀- 360论坛  
[http://www.google.com.hk/search?hl=zh-CN&newwindow=1&safe=strict&biw=874&bih=645&q=rtsdjcbu.sys&aq=f&aqi=&aql=&oq][http_www.google.com.hk_search_hl_zh-CN_newwindow_1_safe_strict_biw_874_bih_645_q_rtsdjcbu.sys_aq_f_aqi_aql_oq]=

按md5值则google到：  
[http://www.google.com.hk/url?sa=t&source=web&cd=1&ved=0CBkQFjAA&url=http%3A%2F%2Fwww.sophos.com%2Fsecurity%2Fanalyses%2Fviruses-and-spyware%2Ftrojmsvloga.html%3F\_log\_from%3Drss&ei=1RWgTdfSOIiecJGy5ecB&usg=AFQjCNEI2\_O21HVr-rts\_mbqpJf2fcI\_UA][http_www.google.com.hk_url_sa_t_source_web_cd_1_ved_0CBkQFjAA_url_http_3A_2F_2Fwww.sophos.com_2Fsecurity_2Fanalyses_2Fviruses-and-spyware_2Ftrojmsvloga.html_3F_log_from_3Drss_ei_1RWgTdfSOIiecJGy5ecB_usg_AFQjCNEI2_O21HVr-rts_mbqpJf2fcI_UA]  
即  
[http://www.sophos.com/security/analyses/viruses-and-spyware/trojmsvloga.html?\_log\_from=rss][http_www.sophos.com_security_analyses_viruses-and-spyware_trojmsvloga.html_log_from_rss]

![02-google到sophos网站的相关信息][02-google_sophos]

02-google到sophos网站的相关信息

把ugijuors.sys上传到[http://virusscan.jotti.org/][http_virusscan.jotti.org]在线扫描结果如下：

![03-ugijuors.sys在线扫描结果][03-ugijuors.sys]

03-ugijuors.sys在线扫描结果

把RebootSystem1.exe上传到[http://virusscan.jotti.org/][http_virusscan.jotti.org]在线扫描结果如下：

![04-RebootSystem1.exe在线扫描结果][04-RebootSystem1.exe]

04-RebootSystem1.exe在线扫描结果

国外杀毒软件不认识Lenovo的东东？

把EasyRecovery.exe上传到[http://virusscan.jotti.org/][http_virusscan.jotti.org]在线扫描结果如下：

![05-EasyRecovery.exe在线扫描结果][05-EasyRecovery.exe]

05-EasyRecovery.exe在线扫描结果

把QQ电脑管家升级到最新版本，居然还是4.5，4.6正式版本都出来了罢？

再指定对C:/WINDOWS/system32/drivers、C:/Program Files/Lenovo/隐藏分区管理、D:/■■■■■■■/数据恢复/EasyRecovery三个文件夹进行扫描：

![06-QQ电脑管家4.5(2011-04-09)木马扫描结果][06-QQ_4.5_2011-04-09]

06-QQ电脑管家4.5(2011-04-09)木马扫描结果

误报依旧。

轮到金山卫士登场了。

把金山卫士升级到最新版本，然后指定对C:/WINDOWS/system32/drivers、C:/Program Files/Lenovo/隐藏分区管理、D:/■■■■■■■/数据恢复/EasyRecovery三个文件夹进行扫描：

![07-金山卫士扫描结果时间][07-]

07-金山卫士扫描结果时间，扫描结果提示信息框有点多余

![08-金山卫士扫描结果][08-]

08-金山卫士扫描结果，显示的信息要比QQ管家详细

结果金山卫士也误报了一个。

先把C:/Program Files/Lenovo/隐藏分区管理/sysdll/RebootSystem1.exe加入白名单，然后把5个sys文件改名，然后再用金山卫士处理，结果如下：

![09-金山卫士处理结果][09-]

09-金山卫士处理结果

金山卫士虽然找不到5个sys文件，仍然报告6个威胁全部处理，但在关闭金山卫士时却提示“还有异常未处理”？

不论扫描速度，扫描结果，还是扫描报告的内容，金山卫士都要略胜QQ电脑管家一筹。

[01-QQ_4.5_2011-02-26]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/b2afe1268c9a42409053c648365db331.png
[http_www.google.com.hk_search_hl_zh-CN_newwindow_1_safe_strict_biw_874_bih_645_q_rtsdjcbu.sys_aq_f_aqi_aql_oq]: http://www.google.com.hk/search?hl=zh-CN&newwindow=1&safe=strict&biw=874&bih=645&q=rtsdjcbu.sys&aq=f&aqi=&aql=&oq
[http_www.google.com.hk_url_sa_t_source_web_cd_1_ved_0CBkQFjAA_url_http_3A_2F_2Fwww.sophos.com_2Fsecurity_2Fanalyses_2Fviruses-and-spyware_2Ftrojmsvloga.html_3F_log_from_3Drss_ei_1RWgTdfSOIiecJGy5ecB_usg_AFQjCNEI2_O21HVr-rts_mbqpJf2fcI_UA]: http://www.google.com.hk/url?sa=t&source=web&cd=1&ved=0CBkQFjAA&url=http%3A%2F%2Fwww.sophos.com%2Fsecurity%2Fanalyses%2Fviruses-and-spyware%2Ftrojmsvloga.html%3F_log_from%3Drss&ei=1RWgTdfSOIiecJGy5ecB&usg=AFQjCNEI2_O21HVr-rts_mbqpJf2fcI_UA
[http_www.sophos.com_security_analyses_viruses-and-spyware_trojmsvloga.html_log_from_rss]: http://www.sophos.com/security/analyses/viruses-and-spyware/trojmsvloga.html?_log_from=rss
[02-google_sophos]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/fc89bde4e0314deca0a751286ba17b29.png
[http_virusscan.jotti.org]: http://virusscan.jotti.org/
[03-ugijuors.sys]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/dac833531d984c0298091fd097675b0d.png
[04-RebootSystem1.exe]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/df80e2e190864026bc8db77f34bfad61.png
[05-EasyRecovery.exe]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/d20803000ccc4e3490089a43a711196d.png
[06-QQ_4.5_2011-04-09]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/25bcb6c0b6bd454c8752b86999bfbe26.png
[07-]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/dc0a5715a16445ad98dbfe345ff722db.png
[08-]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/0b23df71d6ec416a9222d2a972dace12.png
[09-]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/e777faa67eb74be394a08f16a0d1f64a.png