AdWare.HBang.e惹的禍、檔案temp1.plt的一點分析(第1版)

endurer　原創

2006-03-27　第1版

今天一位同事說電腦工作不正常，請我幫忙看看。

該機為TCL品牌機，作業系統為Windows XP SP2(5.1.2600)。開啟IE瀏覽器後，IE停止回應。我開了幾個IE都是如些。強行關閉IE，則explorer.exe也會自動終止。系統自動重新運行explorer.exe後系統反應很慢。

用HijackThis掃描，發現了AdWare.HBang.e的檔案和項目：

 

O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:/PROGRA~1/HBClient/tbhelper.dll

 

O4 - HKLM/../Run: [RichMedia] C:/WINDOWS/system32/Rundll32.exe  "C:/PROGRA~1/HBClient/tbhelper.dll",WaitWindows

O10 - Unknown file in Winsock LSP: c:/windows/system32/hbmter.dll
O10 - Unknown file in Winsock LSP: c:/windows/system32/hbmter.dll

另外，由於先前強行關閉程式，系統中有多個負責記錄出現 錯誤的程式資訊的程式進程C:/WINDOWS/system32/dumprep.exe和C:/WINDOWS/system32/dwwin.exe的進程在運行。

 

 

參照:

掃出100多個病毒,3個隱藏進程

解決快顯視窗及AdWare.HBang

中的處理經驗，先到控制台中的“添加刪除程式”裡卸載RichMedia。然後重啟動到帶網路連接的安全模式，用瑞星免費線上掃描，發現幾十個AdWare.HBang.e的檔案：

 

 

2006-3-27 16:14:36　瑞星殺毒助手
Windows XP Service Pack 2(5.1.2600)
檔案名稱 病毒名
C:/WINDOWS/system32/temp/temp1.plt AdWare.HBang.e
C:/WINDOWS/HHelp.dll AdWare.HBang.e
C:/Program Files/HBClient/tbhelper.dll AdWare.HBang.c
C:/System Volume Information/_restore{1F034AFA-4C43-49F7-AC54-375A02EF3410}/RP41/A0019971.DLL AdWare.HBang.e
...（都在C:/System Volume Information中，略）。

 

 

都用“瑞星殺毒助手”（您可以到http://endurer.blogchina.com下載）解決了。重新啟動電腦，再開啟IE流瀏器，IE不再停止回應了,再用免費線上掃描，未發現AdWare.HBang.e。

temp1.plt的一點分析

C:/WINDOWS/system32/temp/temp1.plt這個檔案其實是個PE格式的檔案，把其副檔名改為.dll或.exe，可以在檔案屬性中其看到檔案描述，版本等資訊，原檔案名稱為hbmter.dll。

這個檔案會檢測病毒檔案是否存在，可從

hxxp://59.36.96.8/download/updatelist（這個已經失效）

和

hxxp://download.henbang.net/download/updatelist

（download.henbang.net對應的IP地址為59.36.98.155）

下載、安裝hbhelper.dll。

負責啟動廣告服務。

針對skype.exe、tm.exe、qq.exe、msnmsgr.exe、maxthon.exe、greenbrowser.exe、netcaptor.exe、myie.exe、ge.exe、ttraveler.exe、iexplore.exe等進程有相應的處理。