杀毒

出差回来发现机器中毒了

一个字，杀

Kaspersky自动扫过　都是木马　还清除不了

上网一查Trojan-PSW.Win32.Delf.ic

MS_INFO - MS_INFO.OBJ - 进程信息
进程文件：MS_INFO 或者 MS_INFO.OBJ
进程名称： Trojan-PSW.Win32.Delf.ic

描述：
MS_INFO.OBJ是Trojan-PSW.Win32.Delf.ic木马相关程序，建议立即删除。

出品者： 未知N/A
属于： Trojan-PSW.Win32.Delf.ic

系统进程： 否
后台程序： 否
使用网络： 否
硬件相关： 否
常见错误： 未知N/A
内存使用： 未知N/A

安全等级 (0-5): 2
间谍软件： 否
广告软件： 否
病毒： 是
木马： 是
这是一个QQ盗号木马,该木马通过特殊的线程插入技术, 无启动项, 无进程, 突破防火墙,而且难以清除.逃避QQ的密码保护措施.该木马会监控QQ登陆窗口,记录用户输入的信息,并且把截获的信息发送到木马种植者,并且把自己注册成组建,对用户的安全带来极大的因患.

1.生成文件:
C:\Program Files\Common Files\Microsoft Shared\MSINFO\Ms_Info.Obj

2.注册SHELL扩展组键,使病毒伴随Explorer启动:
HKLM\SOFTWARE\Classes\CLSID\{C4B51E74-2C1D-4D9F-AF6A-E70D0713F387\InProcServer32
@
C:\Program Files\Common Files\Microsoft Shared\MSINFO\
HKLM\SOFTWARE\Classes\CLSID\{C4B51E74-2C1D-4D9F-AF6A-E70D0713F387\InProcServer32
ThreadingModel
"Apartment"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks{C4B51E74-2C1D-4D9F-AF6A-E70D0713F387}
""

3.删除npkcrypt.sys,使QQ的密码保护失效.

建议安全模式下删除此文件夹,原后从系统安装光盘的i386文件夹内拷出MSINFO文件夹正常是应该有的文件(你可以参考别人的机子),i386文件夹内的文件要改后缀名.

这才让我想起来，我女朋友说前几天QQ被盗了，ft。

好像是个变种，我机器上没有Ms_Info.Obj ，只有Ms_Info.xr报错，不管了

恶心是的所有exe打不开了，修复，先把regedit.exe 改名成regedit.com

进入hkey_classes_root\exefile\shell\Open\command，看了一下，没错，没被修改过

进入文件夹选项，文件类型中　新建 扩展名是 exe- 关联文件类型是 应用程序，ＯＫ了

再用kapersky杀了一遍，restart，晕出来一个windows找不到'1'文件，网上找啊，下了一个SREng

运行之后，提示我shell被修改了，hoho，打开regedit进入HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT

\WINDOWS NT\CURRENTVERSION\WNLOGON  看到shell的值是Explorer.exe 1改成Explorer.exe，重启就好了。