愛(ài)國(guó)心
近日筆者的朋友收到一位網(wǎng)友發(fā)來(lái)的文件,文件名為OICQPASS,圖標(biāo)為一只可愛(ài)的小企鵝。那網(wǎng)友告訴他此文件可以增強(qiáng)QQ聊天的保護(hù)功能。結(jié)果雙擊運(yùn)行后卻什么提示也沒(méi)有。但是后來(lái)發(fā)現(xiàn)任務(wù)管理器中有個(gè)SMTP任務(wù)在運(yùn)行,后來(lái)確定是病毒,并最終清除。
OICQPASS.exe是個(gè)主程序,還有xxc.dll文件,里面填寫了E-mail地址,只要一運(yùn)行OICQ-PASS.exe就被種上了木馬,OICQ密碼就會(huì)被發(fā)送到那個(gè)xxc.dll文件里面的E-mail中。
(1)首先刪除病毒文件,然后到HKEY_LO-CAL_MACHINE\Software\Micrsoft\Windows\Cur-rentVersion\Run中查找,發(fā)現(xiàn)和此OICQPASS病毒有關(guān)的兩個(gè)啟動(dòng)項(xiàng),一個(gè)是病毒文件所在的地址,另一個(gè)為C:\WinNT\System32\OICQPASSEXE,于是分別刪除這兩個(gè)字符串;然后再到C\WinNT\System32目錄下去刪除OICQPASS這個(gè)文件,但怎么查找也沒(méi)發(fā)現(xiàn)這個(gè)文件,筆者以為病毒已經(jīng)清除掉。重新啟動(dòng)機(jī)器,在任務(wù)管理器中竟然還有一個(gè)SMTP在運(yùn)行,看來(lái)病毒還沒(méi)有完全清除掉,馬上停止了此進(jìn)程繼續(xù)查找病毒所在。
(2)到注冊(cè)表HKEY_LOCAL_MACHINE\Soft-ware\Microsoft\Windows\CurrentVersion\Run中一看,C:\WinNT\System32\OICQPASS.EXE這個(gè)啟動(dòng)項(xiàng)仍然存在,看來(lái)OICQPASS這個(gè)文件一定還存在,但為什么找不到它呢?
(3)在C:\WinNT\System32中又進(jìn)行了篩選過(guò)濾,發(fā)現(xiàn)Winserver這個(gè)文件的圖標(biāo)是個(gè)小企鵝。這引起了筆者的懷疑,Winserver好像是系統(tǒng)文件但怎么戴個(gè)企鵝的帽子?刪除這個(gè)文件后重新啟動(dòng)機(jī)器,機(jī)器提示“無(wú)法加載或運(yùn)行注冊(cè)表指定的Winserver.EXE,請(qǐng)確認(rèn)文件是否存在你的計(jì)算機(jī)上,或者刪除注冊(cè)表中對(duì)它的引用”。再到任務(wù)管理器中檢查,一切正常了。