readme.txt之彈出免費點歌病毒的清除方法

病毒名稱:Trojan.Delf.rsd <瑞星><MACFEE.卡巴不報>

MD5 216a3783443fc9c46fe4d32aa13c390f

運行後病毒樣本,自動複製副本到%SYSTEMroot%目錄下

%SYSTEMroot%\flashplay.dll

%SYSTEMroot%\ge_1237.exe

X:\flashplay.dll

X:\readme.txt.exe

X:\autorun.inf

X指非系統硬碟符

%systemroot%是環境變數，

autorun.inf裡面的內容:

[autorun]

open=.\readme.txt.exe

shell\1=Open

shell\1\Command=.\readme.txt.exe

shell\2\=Browser

shell\2\Command=.\readme.txt.exe

shellexecute=.\readme.txt.exe

[autorun]

open=.\readme.txt.exe

shell\1=Open

shell\1\Command=.\readme.txt.exe

shell\2\=Browser

shell\2\Command=.\readme.txt.exe

shellexecute=.\readme.txt.exe

運行IE,%SYSTEMroot%\ge_1237.exe串連網路:

IP地址:125.91.104.177 連接埠為:80

IP地址:59.45.180.5 連接埠為:37

IP地址:221.238.249.18 連接埠為:80

關於彈出免費點歌,指向網址:http://img2.uiuni.com/ivr/all/index.html?uid=2722

解決方案:

1.運行ICESWORD---設定---禁止進線程建立---強制卸載被插入到explorer.exe進程及iexplore.exe進程的 C:\WINDOWS\system32\flashplay.dll

附sreng日誌:

Code:

[PID: 4916][C:\WINDOWS\explorer.exe]

[C:\WINDOWS\system32\flashplay.dll]

[PID: 1508][C:\Program Files\Internet Explorer\iexplore.exe]

[C:\WINDOWS\system32\flashplay.dll]

2.使用ICESWORD---檔案---刪除:

%SYSTEMroot%\flashplay.dll

%SYSTEMroot%\ge_1237.exe

刪除非系統硬碟符下

X:\flashplay.dll

X:\readme.txt.exe

X:\autorun.inf

注意事項:

在使用ICESWORD刪除非系統硬碟符下X:\readme.txt.exe的時候,會自動中止案頭進程,刪除完成後,取消禁止進線程建立,使用:ctrl+ait+del調出工作管理員,選擇檔案--建立任務--調出案頭進程:explorer.exe