[安全]Trojan-PSW.Win32.WOW.ck 病毒属木马

Trojan-PSW.Win32.WOW.ck 病毒属木马类。病毒运行后在 program files、%windir%、%system32% 文件夹下复制自身，生成14个病毒文件；修改注册表，添加启动项，以达到随机启动的目的；将IE更改为非默认浏览器；修改大部分文件的启动方式，和文件关联，并创建新的文件类型。 O,PTY^  
*Z8qd{.$q  
清除方案： 0?o<cC1Z  
+lplQ
h@RB  
(1) 首先关闭病毒进程 sEymwpm9  
YMn*i<m  
(2) 删除病毒文件： [
CG3&J  
b^:frjaE3  
#fx>{ vzH  
　　　　　c:\Program Files\Common Files\inexplore.pif CSwPL>tUV  
　　　　　c:\Program Files\Internet Explorer\inexplore.com 1,7  
　　　　　%windir%1.com 3ncN)E/@  
　　　　　% windir%\Debug\DebugProgram.exe XjXz#0nR  
　　　　　% windir%\exerouter.exe Y{d-k1?s5  
　　　　　% windir%\EXP10RER.com D wfw|h  
　　　　　% windir%\finders.com 
v#|y
r<  
　　　　　% windir%\Shell.sys ?WP*At0  
　　　　　%system32%\smss.exe ^ 0
.`1$  
　　　　　%system32%\dxdiag.com xs6kr  
　　　　　%system32%\MSCONFIG.COM eC3 ~|G_O  
　　　　　%system32%\regedit.com 'iWDYZ?  
　　　　　%system32%\rund1132.com b+`qGJrej  
yGY:EvH^?  
!$NQF/Ol  

WJJmM*>JW  
0Ke2%+yqJ  
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项： ~KQiNkA\|l  
hnimd~E52k  
g43(N!@g  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ &gF9VY  
　　　　　CurrentVersion\Run [
*J?TNk  
　　 　　 键值 : 字串 : "TProgram"="C:\WINNT\smss.exe" I@oSRB  
　　 　　 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main WF_v>g:g  
　　 　　 键值 : 字串 : "Check_Associations"="No" gNJdP!(t  
　　 　　 恢复注册表原键值（如果有组册表备份可以直接将其导入）： !bIE%cq  
　　 　　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew EQtYb"_  
　　 　　 新键值 : 字串 : "Command"="%SystemRoot%\system32\rundll32.exe 5?Ukf$)x  
　　 　　 %SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1" a9u2Wlz  
　　 　　 原键值 : 可扩充字串 : "Command"="%SystemRoot%\system32\  RnSll-  
　　　　　rundll32.exe %SystemRoot%\system32\syncui.dll, J#gG*(  
　　　　　Briefcase_Create %2!d! %1" KV)if'  
　　 　　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe eI9#JM|2  
　　 　　 新键值 : 字串 : @="WindowFiles" bcgXpP  
　　 　　 原键值 : 字串 : @="exefile"　　　　 l(9AwVoAR|  
　　 　　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\ ]D&U}n  
　　 　　 shell\open\command Dz&,g+>$J  
　　　　　新键值 : 字串 : @=""C:\Program Files\InternetExplorer\ "TI>_~  
　　　　　inexplore.com" %1" %'u
ei4  
　　　　　原键值 : 字串 : @=""C:\Program Files\Internet /|8rVYSs  
　　　　　Explorer\iexplore.exe" %1" Ic
zMf%  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ ||L^yI~_d  
　　　　　{871C5380-42A0-1069-A2EA-08002B30309D}\ &5[B\yv  
　　　　　shell\OpenHomePage\Command Wo(m:q(Om  
　　　　　新键值 : 字串 : @=""C:\Program Files\InternetExplorer\ Eunmc  
　　　　　inexplore.com"" lc3N i<3v  
　　　　　原键值 : 可扩充字串 : @="C:\Program Files\Internet Explorer\ a!EW[|[Q  
　　　　　iexplore.exe" ;t M  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command Y2IMHNtH  
　　　　　新键值 : 字串 : @="%SystemRoot%\EXP10RER.com" $V!25jQ  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\Explorer.exe" p, T4BO  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command 34QW^{dgE  
　　　　　新键值 : 字串 : @="%SystemRoot%\system32\RUNDLL32.EXE f/QwXO-U  
　　　　　NETSHELL.DLL,InvokeDunFile %1" ^T#jBqe  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\system32\RUNDLL32.EXE W&k@p9  
　　　　　NETSHELL.DLL,InvokeDunFile %1" S17;;w0  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command \Q^grX  
　　　　　新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ 0(>3L:  
　　　　　inexplore.com" %1" ^/VnRpU  
　　　　　原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ {+]tx46$  
　　　　　iexplore.exe" %1" W^7yh&@lU  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command p~NHf\  
　　　　　新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ 9 p,O>I  
　　　　　inexplore.com" -nohome" T^F83Py<  
　　　　　原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ ;b(ww{&  
　　　　　iexplore.exe" -nohome" (*b<IGi;  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\ I$R
1#s  
　　　　　command hQ}_(F_H  
　　　　　新键值 : 字串 : @=""C:\Program Files\common~1\inexplore.pif"" z%1e>`\E  
　　　　　原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ c39j|/!;Y  
　　　　　iexplore.exe"" B<ncOe  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\ :`4F0
 
　　　　　command
a`8]TD  
　　　　　新键值 : 字串 : @="rundll32.exe %SystemRoot%\system32\ &Yo|Pj  
　　　　　mshtml.dll,PrintHTML "%1"" FJ^\K+;  
　　　　　原键值 : 可扩充字串 : @="rundll32.exe%SystemRoot%\system32\ +f%"O?  
　　　　　mshtml.dll, PrintHTML"%1" lMH~J8U3  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http\shell\open\command *$5p,m6G  
　　　　　新键值 : 字串 : @=""C:\Program Files\common~1\ /+*N.D'`t,  
　　　　　inexplore.pif" -nohome" r\cY R}v  
　　　　　原键值 : 字串 : @=""C:\Program Files\Internet Explorer\ 9Z }<H/q  
　　　　　iexplore.exe" -nohome" t(dVd%  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\ /O
Ya1,  
　　　　　command E%(s=YhW  
　　　　　新键值 : 字串 : @="%SystemRoot%\System32\rundll32.exe ExQ\qp3  
　　　　　setupapi,InstallHinfSection DefaultInstall 132 %1" 4*L*"vKa  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\System32\rundll32.exe #.!#"8{0_  
　　　　　setupapi,InstallHinfSection DefaultInstall 132 %1" UCXRF  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\ xHqF_10S#  
　　　　　command fs:yx'm
xV  
　　　　　新键值 : 字串 : @="%SystemRoot%\system32\rundll32.exe AusjN-IL  
　　　　　%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" N:CQ$7T{ j  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\system32\rundll32.exe *dxm|F98  
　　　　　%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" %%/8B  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ 1Q!kk5jE  
　　　　　CurrentVersion\Winlogon rB{w4  
　　　　　新键值 : 字串 : "Shell"="explorer.exe 1" &4+|{Zx0  
　　　　　原键值 : 字串 : "Shell"="Explorer.exe" 7#W]
Qj  
ZyDNtX%