斬殺灰鴿子Backdoor.Gpigeon.gqs/Backdoor.Win32.Hupigon.cce等

endurer　原創

2006.11.10　 第1版

一位網友的電腦最近運行速度超慢，讓偶幫忙檢查看看。
通過QQ遠程協助進行。

到 http://endurer.ys168.com 下載 HijackThis 掃描log，發現如下可疑項：
/----------
Logfile of HijackThis v1.99.1
Scan saved at 10:18:40, on 2006-11-10
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

R3 - URLSearchHook: (no name) - {BB936323-19FA-4521-BA29-ECA6A121BC78} - (no file)

F3 - REG:win.ini: load=?矵?

O4 - HKLM/../Run: [LogFeil] regedit -s C:/$NtUninstallQ8875736$/WINSYS.cer

O18 - Protocol: koboo - {7DEE9D05-FA0A-4416-A6F3-6537D0EAB6A6} - C:/WINDOWS/System32/mbprot.dll

O18 - Protocol: mbox - {7DEE9D05-FA0A-4416-A6F3-6537D0EAB6A6} - C:/WINDOWS/System32/mbprot.dll

O23 - Service: Windows DDOSServer (DDOSServer) - Unknown owner - C:/WINDOWS/System32/jgdr.exe
----------/

C:/$NtUninstallQ8875736$/WINSYS.cer這是個很古老的病毒了，可參考：
又殺了一批病毒（第3版）
http://endurer.bokee.com/3938079.html

C:/WINDOWS/System32/jgdr.exe   使用的是IE網頁表徵圖，相當有迷惑性。Kaspersky 報為 Backdoor.Win32.Hupigon.cce，Dr.Web報為：BackDoor.Pigeon.341，瑞星報為：Backdoor.Gpigeon.gqs。

停止並禁用服務：Windows DDOSServer (DDOSServer)

用WinRAR找到下列檔案並刪除：
C:/WINDOWS/System32/jgdr.exe
C:/WINDOWS/System32/mbprot.dll

刪除檔案夾：C:/$NtUninstallQ8875736$

用HijackThis修複上列可疑項目。

清空IE臨時檔案夾