[安全]Trojan-PSW.Win32.WOW.ck 病毒属木马

Trojan-PSW.Win32.WOW.ck 病毒属木马类。病毒运行后在 program files、%windir%、%system32% 文件夹下复制自身，生成14个病毒文件；修改注册表，添加启动项，以达到随机启动的目的；将IE更改为非默认浏览器；修改大部分文件的启动方式，和文件关联，并创建新的文件类型。 hNVMz`r  
U3VT*nj'  
清除方案： v$JLDt_  
@Z=wE3T@  
(1) 首先关闭病毒进程 QRagz,c  
96)v#B?p  
(2) 删除病毒文件： >t,
O2~  
YE
_6OLW  
1)Eq&ASB  
　　　　　c:\Program Files\Common Files\inexplore.pif {_Np<r;j<  
　　　　　c:\Program Files\Internet Explorer\inexplore.com hg#c[sZL  
　　　　　%windir%1.com 0x4l5x$8  
　　　　　% windir%\Debug\DebugProgram.exe ~ a>S#S  
　　　　　% windir%\exerouter.exe dgY5ccP  
　　　　　% windir%\EXP10RER.com ecT]p  
　　　　　% windir%\finders.com _Ff
".t<"  
　　　　　% windir%\Shell.sys uH] m]t  
　　　　　%system32%\smss.exe 9/Wn!Ld  
　　　　　%system32%\dxdiag.com hOn  
　　　　　%system32%\MSCONFIG.COM h{H]xe[Q  
　　　　　%system32%\regedit.com ?Hk.|5A}  
　　　　　%system32%\rund1132.com D9G0k[D,  
85Dm8~  
D{3fhPNU<b  
P|v ?
 
lR[z<2w\  
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项： 6,zDBax  
]wR6bEm7  
p`LL   
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ ex:3ua$N  
　　　　　CurrentVersion\Run th90O|;  
　　 　　 键值 : 字串 : "TProgram"="C:\WINNT\smss.exe" y0y+%H-  
　　 　　 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main qAbd xd[  
　　 　　 键值 : 字串 : "Check_Associations"="No" -rRz@Cr  
　　 　　 恢复注册表原键值（如果有组册表备份可以直接将其导入）： +
ruj  
　　 　　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew v<`$bvv?  
　　 　　 新键值 : 字串 : "Command"="%SystemRoot%\system32\rundll32.exe Pd
,!&
  
　　 　　 %SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1" $4:~*IQ  
　　 　　 原键值 : 可扩充字串 : "Command"="%SystemRoot%\system32\
XC2Q*Z  
　　　　　rundll32.exe %SystemRoot%\system32\syncui.dll, ]Qc: Zy3  
　　　　　Briefcase_Create %2!d! %1" Ul9b.`6  
　　 　　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe =3pD:L  
　　 　　 新键值 : 字串 : @="WindowFiles" Lm.Ik
}Gli  
　　 　　 原键值 : 字串 : @="exefile"　　　　 fW[_+r]  
　　 　　 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\
?Cc$]  
　　 　　 shell\open\command x;*VCs
 
　　　　　新键值 : 字串 : @=""C:\Program Files\InternetExplorer\ lvG3<ls0K$  
　　　　　inexplore.com" %1" . *Z#cq0  
　　　　　原键值 : 字串 : @=""C:\Program Files\Internet F-i&M1\_  
　　　　　Explorer\iexplore.exe" %1" 78gob&p?  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ eNivlJ,K|@  
　　　　　{871C5380-42A0-1069-A2EA-08002B30309D}\ <%(f9j  
　　　　　shell\OpenHomePage\Command 7%X+O8  
　　　　　新键值 : 字串 : @=""C:\Program Files\InternetExplorer\ fA;x{0CAMX  
　　　　　inexplore.com"" m9uUDq#GJ  
　　　　　原键值 : 可扩充字串 : @="C:\Program Files\Internet Explorer\ tPA"lBS !  
　　　　　iexplore.exe" HN^w'I'bp  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command )y5iH){!  
　　　　　新键值 : 字串 : @="%SystemRoot%\EXP10RER.com" FmR\`yY_,  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\Explorer.exe" lej^gxj/2  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command Wl?<c uw00  
　　　　　新键值 : 字串 : @="%SystemRoot%\system32\RUNDLL32.EXE Mru~<:9  
　　　　　NETSHELL.DLL,InvokeDunFile %1" EyzY2>"^  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\system32\RUNDLL32.EXE }
&=uZ:  
　　　　　NETSHELL.DLL,InvokeDunFile %1" sM<:C  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command 5'),)  
　　　　　新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ p+!f(H  
　　　　　inexplore.com" %1" ^1()W,B~w  
　　　　　原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ @i\7k(9:A  
　　　　　iexplore.exe" %1" P%ye$SASd  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command yM
W'-\  
　　　　　新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ =:kiSrBS3t  
　　　　　inexplore.com" -nohome" *:k~g].Iz  
　　　　　原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ zCyR<as7  
　　　　　iexplore.exe" -nohome" vxF:vI# @  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\ kK08W3@&t  
　　　　　command T$f:[ye]Z  
　　　　　新键值 : 字串 : @=""C:\Program Files\common~1\inexplore.pif"" zv&ePq\#  
　　　　　原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ m<~>&mWr  
　　　　　iexplore.exe"" 9$8X>T^  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\ $]xE$dzJ  
　　　　　command "Fo  
　　　　　新键值 : 字串 : @="rundll32.exe %SystemRoot%\system32\ rE9Ta8j6  
　　　　　mshtml.dll,PrintHTML "%1"" .Ydr[  
　　　　　原键值 : 可扩充字串 : @="rundll32.exe%SystemRoot%\system32\ :A,O(   
　　　　　mshtml.dll, PrintHTML"%1" #vnefIcBf  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http\shell\open\command <d3PDO@w/  
　　　　　新键值 : 字串 : @=""C:\Program Files\common~1\ 4,o %e,z  
　　　　　inexplore.pif" -nohome" `e4o1*  
　　　　　原键值 : 字串 : @=""C:\Program Files\Internet Explorer\ ZE{aS4c  
　　　　　iexplore.exe" -nohome" dVij <! Lu  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\ LNWqgIq  
　　　　　command {H/8#y4qp&  
　　　　　新键值 : 字串 : @="%SystemRoot%\System32\rundll32.exe V}j%gy`  
　　　　　setupapi,InstallHinfSection DefaultInstall 132 %1" NU BpIx&  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\System32\rundll32.exe 5+o 2 T]  
　　　　　setupapi,InstallHinfSection DefaultInstall 132 %1" VZAuUw+M  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\ W` WLW8Qsw  
　　　　　command &E} 
I  
　　　　　新键值 : 字串 : @="%SystemRoot%\system32\rundll32.exe Ka[Sm|-q  
　　　　　%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" 0-6:AHix  
　　　　　原键值 : 可扩充字串 : @="%SystemRoot%\system32\rundll32.exe SjFF=ib  
　　　　　%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" qQwJJjf  
　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ y^5T/M  
　　　　　CurrentVersion\Winlogon Zb12:?  
　　　　　新键值 : 字串 : "Shell"="explorer.exe 1" Cmp{FN"o  
　　　　　原键值 : 字串 : "Shell"="Explorer.exe" R?1i
dl)  
"6 uTo0