遭遇Win32.Loader.c,Trojan.PSW.Win32.GameOnline,Trojan.PSW.Win32.AskTao等2

遭遇Win32.Loader.c,Trojan.PSW.Win32.GameOnline,Trojan.PSW.Win32.AskTao等2

endurer 原创
2007-11-22 第1版

检查发现 除C盘外的其它盘上的EXE文件的最后修改时间相似，文件大小增长，如HijackThis 1.99.1英文版本的文件，正常大小为 218,112 字节，被感染后的 223,585 字节，应该是被感染了，难怪运行时，防火墙会提示程序要访问网络。

使用瑞星在线免费扫描，到 http://endurer.ys168.com 下载瑞星杀毒助手，保存扫描结果如下（有省略）：
/===
2007-11-21 10:38:7　瑞星杀毒助手
Windows XP Service Pack 2(5.1.2600)
文件名 病毒名
Explorer.EXE>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
Explorer.EXE>>C:/WINDOWS/system32/csdoor1.dll Trojan.PSW.Win32.GameOnline.aif
Explorer.EXE>>C:/WINDOWS/system32/wgdoor0.dll Trojan.PSW.Win32.WLOnline.jjq
Explorer.EXE>>C:/WINDOWS/system32/rxdoor0.dll Trojan.PSW.Win32.GameOnline.yi
Rundll32.exe>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
wscntfy.exe>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
YLive.exe>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
yassistse.exe>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
RUNDLL32.EXE>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
notepad.exe>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
notepad.exe>>C:/WINDOWS/system32/rxdoor0.dll Trojan.PSW.Win32.GameOnline.yi
notepad.exe>>C:/WINDOWS/system32/wgdoor0.dll Trojan.PSW.Win32.WLOnline.jjq
notepad.exe>>C:/WINDOWS/system32/csdoor1.dll Trojan.PSW.Win32.GameOnline.aif
notepad.exe>>C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
notepad.exe>>C:/WINDOWS/system32/rxdoor0.dll Trojan.PSW.Win32.GameOnline.yi
notepad.exe>>C:/WINDOWS/system32/wgdoor0.dll Trojan.PSW.Win32.WLOnline.jjq
notepad.exe>>C:/WINDOWS/system32/csdoor1.dll Trojan.PSW.Win32.GameOnline.aif
c:/windows/system32/dllcache/svchost.exe>>upx_c Trojan.PSW.Win32.GameOnline.aaq
C:/WINDOWS/system32/wodoor0.dll Trojan.PSW.Win32.GameOnline.yl
C:/WINDOWS/system32/55550.dll Trojan.PSW.Win32.GameOnline.ym
C:/WINDOWS/system32/csdoor0.dll Trojan.PSW.Win32.Woool.a
C:/WINDOWS/system32/wldoor0.dll Trojan.PSW.Win32.RocOnline.cn
C:/WINDOWS/system32/wgdoor0.dll Trojan.PSW.Win32.WLOnline.jjq
C:/WINDOWS/system32/dadoor0.dll Trojan.PSW.Win32.XYOnline.rg
C:/WINDOWS/system32/dh3oor0.dll Trojan.PSW.Win32.XYOnline.rk
C:/WINDOWS/system32/qjdoor0.dll Trojan.PSW.Win32.GameOnline.aar
C:/WINDOWS/system32/rxdoor0.dll Trojan.PSW.Win32.GameOnline.yi
C:/WINDOWS/system32/wddoor0.dll Trojan.PSW.Win32.AskTao.ei
C:/WINDOWS/system32/tldoor0.dll Trojan.PSW.Win32.GameOnline.yj
C:/WINDOWS/system32/zxdoor0.dll Trojan.PSW.Win32.WLOnline.jjp
C:/WINDOWS/system32/mydoor0.dll Trojan.PSW.Win32.RocOnline.ho
C:/WINDOWS/system32/qhdoor0.dll Trojan.PSW.Win32.GameOnline.yf
C:/WINDOWS/system32/cqdoor0.dll Trojan.PSW.Win32.Shanda.at
C:/WINDOWS/system32/fydoor0.dll Trojan.PSW.Win32.GameOnline.ye
C:/WINDOWS/system32/mhdoor1.dll Trojan.PSW.Win32.WsGame.bf
C:/WINDOWS/system32/qqdoor1.dll Trojan.PSW.Win32.GameOnline.yh
C:/WINDOWS/system32/mhdoor0.dll Trojan.PSW.Win32.XYOnline.su
C:/WINDOWS/system32/wodoor1.dll Trojan.PSW.Win32.GameOnline.aic
C:/WINDOWS/system32/55551.dll Trojan.PSW.Win32.GameOnline.aib
C:/WINDOWS/system32/csdoor1.dll Trojan.PSW.Win32.GameOnline.aif
C:/WINDOWS/system32/mydoor1.dll Trojan.PSW.Win32.RocOnline.ho
C:/WINDOWS/system32/qhdoor1.dll Trojan.PSW.Win32.QQHX.trz
C:/WINDOWS/system32/cqdoor1.dll Trojan.PSW.Win32.GameOnline.aho
C:/WINDOWS/system32/fydoor1.dll Trojan.PSW.Win32.FYOnline.dr
C:/WINDOWS/system32/qqdoor0.dll Trojan.PSW.Win32.QQHX.tsa
C:/Program Files/Common Files/fjOs0r.dll Trojan.PSW.Win32.Delf.pnw
C:/Program Files/Internet Explorer/OnlO0r.dll Trojan.PSW.Win32.GameOnline.aiy
C:/Program Files/Internet Explorer/OnlO0r.obk Trojan.PSW.Win32.Delf.pnw
c:/program files/internet explorer/onlo0r.bak>>upx_c Trojan.PSW.Win32.GameOnline.aaq
C:/System Volume Information/_restore{7F7817CF-DB12-42A3-AE12-E8184D22C999}/RP9/snapshot/MFEX-7.DAT Trojan.PSW.Win32.Delf.pnw
C:/System Volume Information/_restore{7F7817CF-DB12-42A3-AE12-E8184D22C999}/RP9/A0000733.exe Hack.Win32.Agent.cw
C:/System Volume Information/_restore{7F7817CF-DB12-42A3-AE12-E8184D22C999}/RP9/A0000845.dll Trojan.PSW.Win32.WsGame.bf
C:/System Volume Information/_restore{7F7817CF-DB12-42A3-AE12-E8184D22C999}/RP9/A0000859.DLL Trojan.PSW.Win32.GameOnline.aas
C:/System Volume Information/_restore{7F7817CF-DB12-42A3-AE12-E8184D22C999}/RP10/snapshot/MFEX-1.DAT Trojan.PSW.Win32.GameOnline.aiy
D:/System Volume Information/_restore{7F7817CF-DB12-42A3-AE12-E8184D22C999}/RP142/A0023547.exe Win32.Loader.c
…（略）…
===/

到 http://purpleendurer.ys168.com 下载 FileInfo 和 bat_do。

选取部分文件用 FileInfo 提取文件信息，用 bat_do 打包备份。

把C盘上的病毒文件，及 c、d、e、f盘上的xxyxyjk.exe、autorun.inf、Windows.scr加入bat_do，全选，延时删除。

卸载 雅虎助手、中文上网、baidu。

用 WinRAR 删除 Windows临时文件夹，IE临时文件夹，d:/windows/prefetch 中可以删除的文件。

重启电脑……

到 http://www.ikaka.com/2008/down.asp?t=ravz&action=rising  下载可免费使用 3 个月的瑞星2008安装程序进行安装，安装完成后重启动电脑。

运行瑞星卡卡上网安全助手，先在[基本功能]—＞[查杀恶意及流氓软件]，扫描并清理流氓软件

然后在[高级功能]—＞[插件管理及卸载]里把 O2、O24 项卸载掉。

然后在[高级功能]—＞[系统启用项管理]里,在左边点击[登录项]，在右边找到 O4 项对应的项目，右击，从弹出的菜单里选择删除。
接着在[高级功能]—＞[系统启用项管理]里,在左边点击[服务项]和[驱动]，在右边找到 O23 项对应的项目，右击，从弹出的菜单里选择删除；在左边点击[应用程序劫持项]，在右边找到 O26 项对应的项目，右击，从弹出的菜单里选择删除。

升级瑞星杀毒软件，然后全面查杀病毒……

部分病毒文件信息：

文件说明符 : C:/WINDOWS/system32/qqdoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15872 字节 15.512 KB
MD5 : a52a1c57fd74dfdec33780e5f57992c2
SHA1: 3DC1E96C6E843225EF846BEA93836D66B18BECCB
CRC32: 0a773ff2

瑞星报为 Trojan.PSW.Win32.QQHX.tsa

文件说明符 : C:/WINDOWS/system32/fydoor1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 13312 字节 13.0 KB
MD5 : 85d28bb576c7527d4cc64857c87708f6
SHA1: 52B5B103128FA7E6C5359867513286F51216E798
CRC32: 7582c4ea

瑞星报为 Trojan.PSW.Win32.FYOnline.dr

文件说明符 : C:/WINDOWS/system32/cqdoor1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 16896 字节 16.512 KB
MD5 : a03292cba461a8f161ce67cee9fd2f99
SHA1: FDF717CCD25127424F8AF5D29273038925B224D6
CRC32: 7835f372

瑞星报为 Trojan.PSW.Win32.GameOnline.aho

文件说明符 : C:/WINDOWS/system32/qhdoor1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15872 字节 15.512 KB
MD5 : 6b84c2f1df9e0443b6e72ca00f2faafb
SHA1: 39FE2F2583A721C71B05FE6EBC4E488FE5075A37
CRC32: e78255f8

瑞星报为 Trojan.PSW.Win32.GameOnline.yf

文件说明符 : C:/WINDOWS/system32/mydoor1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 17920 字节 17.512 KB
MD5 : 8b8e7e2dc9796960e0e6b0147eae6077
SHA1: A9F8FF6BFFCB90514822178AC0797A0D2A951C70
CRC32: 74aa3654

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hlz，瑞星报为 Trojan.PSW.Win32.RocOnline.ho

文件说明符 : C:/WINDOWS/system32/zxdoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 22528 字节 22.0 KB
MD5 : 58b64638cd5238a242aa3da38ae0a7e8
SHA1: 2374B07E4B46240B0CEA26AFACCAB4C5801E0FB5
CRC32: 2a703824

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hjl，瑞星报为 Trojan.PSW.Win32.WLOnline.jjp

文件说明符 : C:/WINDOWS/system32/tldoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15360 字节 15.0 KB
MD5 : 50afb80b719fdfc6bee2cf23ad63c3b7
SHA1: 44272D82F7F89B7FEABD03C4D750ED718F9FC88C
CRC32: c7f0c205

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hji，瑞星报为 Trojan.PSW.Win32.GameOnline.yj

文件说明符 : C:/WINDOWS/system32/wddoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15872 字节 15.512 KB
MD5 : 87433d5e46382436848a23b45ae7fd3e
SHA1: 5DCE6AA47E0154C250459A8F6786FEB16B96D722
CRC32: ca94ccf7

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hjj，瑞星报为 Trojan.PSW.Win32.AskTao.ei

文件说明符 : C:/WINDOWS/system32/rxdoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15872 字节 15.512 KB
MD5 : 872c9ed2aa3857c9397e3e884d8263c7
SHA1: 78A876319F5C378E3BAC4E2C0420FC28CAEBD3C0
CRC32: 0ff2119b

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hjh，瑞星报为 Trojan.PSW.Win32.GameOnline.yi

文件说明符 : C:/WINDOWS/system32/qjdoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 23040 字节 22.512 KB
MD5 : 49360a574d8918f4cd7a817b04576b67
SHA1: 5B7611E7398D7BE67C3B8E6EFFEF4F3EC69C544F
CRC32: 9daa7156

Kaspersky 报为 Trojan-Downloader.Win32.Agent.fbc，瑞星报为 Trojan.PSW.Win32.GameOnline.aar

文件说明符 : C:/WINDOWS/system32/dh3oor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15360 字节 15.0 KB
MD5 : 4d28e010062eae4b0664a0878cc422ea
SHA1: C55735F127280CC583453E56268E13B427146C78
CRC32: 7d567d6e

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hjc，瑞星报为 Trojan.PSW.Win32.XYOnline.rk

文件说明符 : C:/WINDOWS/system32/dadoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 14336 字节 14.0 KB
MD5 : 44aa674d04dc698e55dfeceda2aa8215
SHA1: D953758EB8CBCE787E794E61378D45F06B1C630A
CRC32: 5706f79e

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hjb，瑞星报为 Trojan.PSW.Win32.XYOnline.rg

文件说明符 : C:/WINDOWS/system32/wgdoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 24576 字节 24.0 KB
MD5 : 95336d0e0b8d18dad8ba8870ee2915f1
SHA1: FDA6A85CD29DB5F953D1D38CDE709C04ED004063
CRC32: 078656f1

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hnc，瑞星报为 Trojan.PSW.Win32.WLOnline.jjq

文件说明符 : C:/WINDOWS/system32/wldoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 22528 字节 22.0 KB
MD5 : 12920baeff5c8056654f80cf31e78cb8
SHA1: 253FC0B6CDA8B09AF7E161EE649AF0E97E797D9A
CRC32: 7b06a554

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hmc，瑞星报为 Trojan.PSW.Win32.RocOnline.cn

文件说明符 : C:/WINDOWS/system32/csdoor1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 14848 字节 14.512 KB
MD5 : c90f614bf473a9775619aa1f15fcf844
SHA1: B366388CAF6915066287FF23AFD3D2BC3D5A3F85
CRC32: 858e0c85

文件说明符 : C:/WINDOWS/system32/55551.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15872 字节 15.512 KB
MD5 : 006331654f665f76cf270784254ef563
SHA1: 2D1BD53358D3789210F09B61BC3F8FAA142F14C4
CRC32: c8284a78

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.ifi，瑞星报为 Trojan.PSW.Win32.GameOnline.aib

文件说明符 : C:/WINDOWS/system32/wodoor1.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 26112 字节 25.512 KB
MD5 : 25380c9ba9b5dbd974d0ee51bebae3f4
SHA1: 3CE1E236071C86A8FD978ADF494A0952E2825453
CRC32: 9cfbd8d9

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.ijr，瑞星报为 Trojan.PSW.Win32.GameOnline.yl

文件说明符 : C:/WINDOWS/system32/mhdoor0.dll
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2004-8-4 0:52:32
修改时间 : 2004-8-4 0:52:32
访问时间 : 2007-11-21 0:0:0
大小 : 15360 字节 15.0 KB
MD5 : d36d63624d45f67ea88ef61c87b2b7f0
SHA1: B8019FF4CCD780883A48E43832A7E18ABD9E7C2B
CRC32: 35976595

瑞星报为 Trojan.PSW.Win32.XYOnline.su

文件说明符 : C:/Program Files/Internet Explorer/OnlO0r.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2001.01
备注 :
产品版本 : 6.00.2900.3028
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : Windows.dll 
源文件名 : Windows.dll
创建时间 : 2007-11-12 11:33:46
修改时间 : 2007-11-20 15:23:24
访问时间 : 2007-11-21 0:0:0
大小 : 29231 字节 28.559 KB
MD5 : 666a8d0c0a08e9fd26308907513867d0
SHA1: F44BC0113567D4B8C6DCBF25FA6A91BBB4E6DD18
CRC32: 53b65085

Kaspersky 报为 Trojan-PSW.Win32.OnLineGames.hlz，瑞星报为 Trojan.PSW.Win32.GameOnline.aiy

文件说明符 : F:/Windows.scr
属性 : ASH-
获取文件版本信息大小失败!
创建时间 : 2007-11-12 11:34:4
修改时间 : 2007-11-12 11:33:44
访问时间 : 2007-11-21 0:0:0
大小 : 29743 字节 29.47 KB
MD5 : 663fee4d50f624ac0b7c386e72ea84d1
SHA1: 6F94FA55441F06D421010B5EE07BE747A922F779
CRC32: 4de8d2e2

Kaspersky 报为 Trojan-PSW.Win32.Delf.ahe，瑞星报为 Trojan.PSW.Win32.GameOnline.aaq》upx_c

文件说明符 : D:/xxyxyjk.exe
属性 : ASH-
获取文件版本信息大小失败!
创建时间 : 2007-11-6 9:6:38
修改时间 : 2007-11-9 16:13:24
访问时间 : 2007-11-21 0:0:0
大小 : 32097 字节 31.353 KB
MD5 : 4e0dfa218e7624ef01822e2b6b8f480c
SHA1: 881D2840F41E7C5B22DD914B479F35F636B947D6
CRC32: 2fca6eb1

Kaspersky 报为 Virus.Win32.Downloader.q，瑞星报为 Win32.Loader.c

文件说明符 : C:/Program Files/Common Files/fjOs0r.dll
属性 : ASH-
语言 : 中文(中国)
文件版本 : 1. 0. 0. 1
说明 : Microsoft Corporation Windows DLL
版权 : Copyright (C) 2001.01
备注 :
产品版本 : 6.00.2900.3028
产品名称 : Microsoft Windows Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : Windows.dll 
源文件名 : Windows.dll
创建时间 : 2007-11-12 11:33:46
修改时间 : 2007-11-12 11:33:48
访问时间 : 2007-11-21 0:0:0
大小 : 35887 字节 35.47 KB
MD5 : f3769529b003f02af4d3217667a72eab
SHA1: 759EA0ECEBEB7874D85159909831EAF06EC73225
CRC32: ada819f9

Kaspersky 报为 Trojan-PSW.Win32.Delf.ahg，瑞星报为 Trojan.PSW.Win32.Delf.pnw