遭遇Cli5.exe,DNFchin.exe,362.VBS,svhot.exe,userdata.dll,oshajf.sys等

叁歲伎倆 2024-02-17 22:34 9阅读 0赞

昨天，一位朋友的电脑重装系统没几天就出了问题：正常模式进入桌面后就卡住了，鼠标指针一直为漏斗状，无法操作。请我帮忙检修。  
　　朋友电脑桌面上有金山毒霸2012的图标，但任务栏托盘区没有金山毒霸监控程序的图标。按 Ctrl+Alt+Del打开任务管理器，发现一些奇怪的进程。估计是中了恶意程序。

重启电脑到带网络连接的安全模式下，用pe\_xscan扫描log并分析，发现如下可疑项：

pe\_xscan 11-03-17 by Purple Endurer

2012-2-23 10:44:50

Windows XP Service Pack 3(5.1.2600)

MSIE:6.0.2900.5512

管理员用户组

带网络连接的安全模式

\[System Process\]\*0

C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

C:\\WINDOWS\\system32\\userinit.exe\*1488|2008-4-14 20:0:0

C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

C:\\DOCUME~1\\Cli5.exe\*1496|2012-2-21 16:46:52|EngineClicker|1.00|?|?|1.00|微软中国|?|EngineClicker4|EngineClicker4.exe

C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

C:\\Program Files\\Common Files\\whh37001.ocx|2012-2-21 16:8:6

C:\\WINDOWS\\system32\\sysapp1.dll|2012-2-21 16:11:54

C:\\WINDOWS\\system32\\sysapp2.dll|2012-2-21 16:9:46

C:\\WINDOWS\\system32\\sysapp5.dll|2012-2-21 16:12:46

C:\\WINDOWS\\system32\\sysapp6.dll|2012-2-21 16:11:48

C:\\WINDOWS\\system32\\sysapp8.dll|2012-2-21 16:9:30

C:\\WINDOWS\\system32\\sysapp9.dll|2012-2-21 16:12:1

C:\\WINDOWS\\system32\\sysapp17.dll|2012-2-21 16:12:15

C:\\WINDOWS\\system32\\sysapp18.dll|2012-2-21 16:12:7

C:\\WINDOWS\\system32\\sysapp19.dll|2012-2-21 16:10:35

C:\\WINDOWS\\system32\\sysapp21.dll|2012-2-21 16:12:21

C:\\WINDOWS\\system32\\sysapp23.dll|2012-2-21 16:10:1

C:\\WINDOWS\\system32\\sysapp29.dll|2012-2-21 16:11:28

C:\\WINDOWS\\system32\\sysapp33.dll|2012-2-21 16:11:42

C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\pbhmcv.exe\*1980|2012-2-23 10:37:35|DHTMLProject|1.00|?|?|1.00|微软中国|?|1003|1003.exe

C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

F2 - REG: system.ini: UserInit = <C:\\WINDOWS\\system32\\userinit.exe C:\\DOCUME~1\\Cli5.exe> |2008-4-14 20:0:0

F3 - REG: win.ini: load C:\\WINDOWS\\DNFchin.exe

O4 - HKCU\\..\\run: \[LockIE\] C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\ie.exe /r

O4 - HKLM\\..\\run: \[OpwareSE4\] C:\\Program Files\\ScanSoft\\OmniPageSE4.0\\OpwareSE4.exe"

O4 - HKLM\\..\\run: \[\] file c:\\windows\\362.VBS

O4 - HKLM\\..\\run: \[pp\_click\] C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\1544937.exe

O4 - HKLM\\..\\run: \[ie\] c:\\windows\\svhot.exe

O4 - HKLM\\..\\run: \[cftmon\] C:\\Program Files\\iexplores\\iexplore.exe

O4 - HKLM\\..\\run: \[Lll\] %systemroot%\\Lll.exe

O4 - Global Startup: 齐秀社区.lnk -> C:\\Program Files\\qixiu\\Qixiu001.exe

O6 - HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel 存在 IE或Internet选项可能受到限制

O10 - LSP: Phoenix11LSP1020211c over MSAFD Tcpip \[TCP/IP\] = C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

O10 - LSP: Phoenix11LSP1020211c over MSAFD Tcpip \[UDP/IP\] = C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

O10 - LSP: Phoenix11LSP1020211c over MSAFD Tcpip \[RAW/IP\] = C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

O10 - LSP: Phoenix11LSP1020211c = C:\\Program Files\\Common Files\\001194EAce.dll|1658-2-24 3:26:51

-> C:\\Documents and Settings\\Local User\\userdata.dll|2005-4-19 16:14:0(自动)

O23 - 服务: gmsgqn () - C:\\Documents and Settings\\All Users\\Application Data\\QEILCRW\\gmsgqn.bin|2012-2-21 16:14:36(自动)

-> C:\\Documents and Settings\\All Users\\Application Data\\Storm\\update\\%SESSIONNAME%\\feguf.cc3|2012-2-21 16:13:15(自动)

O23 - 服务: jolrdk () - C:\\Documents and Settings\\All Users\\Application Data\\QEILCRW\\jolrdk.bin(自动)

O23 - 服务: oshajf () - C:\\WINDOWS\\system32\\drivers\\oshajf.sys|2012-2-21 16:14:0(自动)

O23 - 服务: rsrqgp () - C:\\Documents and Settings\\All Users\\Application Data\\VHQXVVM\\rsrqgp.bin(自动)

O23 - 服务: pwimuj () - C:\\Documents and Settings\\All Users\\Application Data\\VHQXVVM\\pwimuj.bin|2012-2-21 16:47:48(自动)

O23 - 服务: SoftDaemo (SoftDaemo) - C:\\WINDOWS\\system32\\drivers\\SoftDaemo.sys|2012-2-23 10:37:26(手动)

O25 - InsCom: \{AENGFU3AA-B552-11d2-9CBD-0000F87A369E\} = C:\\WINDOWS\\Tyuip\\lsasp.exe

O25 - InsCom: \{AENGFU3AA-B933-11d2-9CBD-0000F87A369E\} = C:\\WINDOWS\\Qedie\\conime.exe

O29 - HKCU-Start Page = hxxp://www.daohangbai.com

O29 - HKUS-Start Page = hxxp://www.114la.com/index.htm

O30 - OpenHttp = C:\\Program Files\\Internet Explorer\\iexplore.exe" hxxp://www.9966dh.com/?1(CLSID\\\{871C5380-42A0-1069-A2EA-08002B30309D\}\\shell\\OpenHomePage\\Command) C:\\Documents and Settings\\Administrator\\Application Data\\Microsoft\\Internet Explorer\\Quick Launch

启动 Internet Explorer 浏览器.lnk -> C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE hxxp://www.2345.com/?9011

酷屏.lnk\-> 非lnk文件

C:\\Documents and Settings\\All Users\\「开始」菜单\\程序\\启动

齐秀社区.lnk -> C:\\Program Files\\qixiu\\Qixiu001.exe

C:\\Documents and Settings\\Default User\\Application Data\\Microsoft\\Internet Explorer\\Quick Launch

启动 Internet Explorer 浏览器.lnk -> C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE hxxp://www.2345.com/?9011

有些恶意程序在安全模式下也启动了。

本来想下载Dr.Web CureIt! 来查杀的，但刚打开下载页面就卡住了！估计是O10组的恶意程序在做怪！

双于桌面上的金山毒霸查图标，打开金山毒霸查杀病毒，看看毒霸的查杀效果：

病毒查杀日志 如下:

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\Program Files\\Common Files\\001194EAce.dll Win32.Malware.Heur\_Generic.A.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:c:\\progra~1\\%program files%\\wdcp.dll Win32.Troj.DeepScan.b.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\Program Files\\Common Files\\whh37001.ocx Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp1.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp2.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp5.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp6.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp8.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp9.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp17.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp18.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp19.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp21.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp23.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp29.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\sysapp33.dll Win32.Troj.Undef.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\WINDOWS\\system32\\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除

\[2012-02-23 11:50:58\] 手动杀毒 病毒木马:C:\\Program Files\\Internet Explorer\\MSIMG32.dll Win32.Troj.Undef.(kcloud) 清除