ccsvchst.exe_rundll32_ccsvchst.exe 硬盘(2)

WoptiClean.exe

zxsweep.exe

常见的杀毒软件和一些安全工具都被他干掉了

然后将这些exe通过IFEO进行映像劫持 指向c:\program files\common files\microsoft shared\msinfo\41115bdd.dat

监控带有如下字样的窗口 如果发现带有如下字样的窗口则马上将其关闭

木马

木馬

病毒

杀毒

殺毒

查毒

防毒

反病毒

专杀

專殺

卡巴斯基

江民

瑞星

卡卡社区

金山毒霸

金山社区

360安全

恶意软件

流氓软件

举报

报警

杀软

殺軟

防駭

以上这些监控和关闭窗口的工作全都是由插入Explorer进程的C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll操作的

比熊猫更狠 让你找不到进程咯

然后在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

下面添加注册表项目 <{15BD4111-4111-5BDD-115B-111BD1115BDD}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\41115BDD.dll> [N/A]

达到开机启动目的

而且那个dll会监控这个注册表项目 如果被删除则立即恢复

删除键

HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}

破坏安全模式

修改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue滴?x00000000

使得显示不了隐藏文件

释放8668122F.exe（骨头语：此文件名在每台电脑上各不相同）和autorun.inf到除系统分区外的其他分区

然后通过Explorer进程链接网络下载一个自解压文件dl1.exe 到临时文件夹

自解压文件释放C:\WINDOWS\system\20290.exe

C:\WINDOWS\system\ad1309.exe

C:\WINDOWS\system\DiskFree_hy1.5.exe

C:\WINDOWS\system\dodolook027.exe等文件

这里面有驱动木马 也有流氓软件

所有的文件都运行后

添加了如下文件

C:\WINDOWS\system32\drivers\acpidisk.sys

C:\WINDOWS\system32\drivers\tolnfo47.sys

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-22108-2.html