【原创】遭遇Worm.Win32.Agent.zlw, Malicious Code(恶意代码)等
关键词： 病毒 Worm.Win32.Agen MaliciousCode 漂泊浪子今天同事说电脑中毒了，重装了好几遍系统还搞不定，心想肯定是在每个分区下有autorun.inf导致。看了一下各分区，果然存在有autorun.inf。文件内容：
[AutoRun]
open=kpjrxxb.exe
shell\open=打开(&O)
shell\open\Command=kpjrxxb.exe
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\Command=kpjrxxb.exe
中毒症状：
1、无法安装反病毒软件，无法运行反病毒软件；
2、无法打开任务管理器，打开自动关闭；
3、打开反病毒安装文件所在文件夹，过一段时间自动关闭；
4、无法运行iceSword.exe；
5、无法运行注册表；
6、无法显示隐藏文件和系统隐藏文件；
7、无法进入安全模式。
用HIJACKTHIS发现以下可疑项：
O4 - 启动项HKLM\\Run: C:\Program Files\Common Files\System\kfbdgew.exe
O4 - 启动项HKLM\\Run: C:\Program Files\Common Files\Microsoft Shared\jfsayak.exe
O4 - Global Startup: WinPact.exe
C:\Documents and Settings\All Users\「开始」菜单\程序\启动\winpact.exe
O4 - HKLM\..\Policies\Explorer\Run: [Shebe] C:\WINDOWS\system32\vista.exe
在各分区下发现可疑文件：
autorun.inf, pagefile.pif, test.exe,kpjrxxb.exe。
kpjrxxb.exe 瑞星报为 Worm.Win32.Agent.zlw，
pagefile.pif >> fakeupx 瑞星报为 Malicious Code(恶意代码)。
重装系统后，删除各分区下的autorun.inf, pagefile.pif, test.exe，注意：不能用双击打开盘符，必须用资源管理器打开，或者在DOS下删除。
Trackback
你可以使用这个链接引用该篇文章 http://publishblog.blogchina.com/blog/tb.b?diaryID=6635375
回复
|
- 评论人：endurer
2008-02-24 22:09:13
|
|||
看起来像是AV杀手的变种
|
||||
|
- 评论人：漂泊浪子
2008-02-24 17:54:23
|
|||
【瑞星分析结果】
|
||||
|
|
- 评论人：漂泊浪子
2008-02-24 17:53:11
|
|||
【瑞星分析结果】
|
||||
