Trojan-PSW.Win32.WOW.bv手动清除方法

   

　　病毒描述：

　　该病毒运行后，释放若干病毒副本到%Windows%与%\System32\%目录下，修改注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefiles为winfiles，新建键值，把exe文件与病毒文件相关联，并添加启动项，以达到开机后运行病毒与打开任意程序即运行病毒的目的。该病毒会盗取“征途”、“魔兽”等网络游戏的个人信息，发到指定网站。

　　行为分析：

　　1、释放下列副本与文件

　　%\Program Files\Common Files\% 　　　　iexplore.pif

　　%\Windows\%　　　　　1.com

　　%\Windows\%　　　　　ExERoute.com 　　 Trojan-PSW.Win32.WOW.bv

　　%\Windows\%　　　　　explore.com 　　　同上

　　%\Windows\%　　　　　finder.com　　　　同上

　　%\Windows\%　　　　　KB890859.log　　　同上

　　%\Windows\%　　　　　WINLOGON.EXE　　　同上

　　%\Windows\%LastCood\INF\oem5.inf

　　%\Windows\%LastCood\INF\oem5.PNF

　　%\System32\%command 指向MS-Dos的快捷方式

　　%\System32\%　　　　 dxdiag.com 　　　 同上

　　%\System32\%　　　　 finder.com 　　　 同上

　　%\System32\%　　　　 msconfig.com　　　同上

　　%\System32\%　　　　 regedit.com　　　 同上

　　%\System32\%　　　　 rundll32.com　　　同上

　　D:\autorun.inf

　　D:\pagefile.pif

　　2、新建注册表键值：

　　在此键值下新建若干病毒释放文件相关键值

　　HKEY_CURRENT_USER\Software\Microsoft\Windows

　　\ShellNoRoam\Bags\15\Shell\

　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles\

　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles

　　\Shell\Open\Command\@

　　键值: 字符串: "C:\WINDOWS\ExERoute.exe "%1" %*"

　　HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

　　\iexplore.pif\shell\open\command\@

　　键值: 字符串:""C:\ProgramFiles\common~1\iexplore.pif""

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

　　\CurrentVersion\Run\Torjan Program

　　键值: 字符串: "C:\WINDOWS\WINLOGON.EXE"

　　HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery

　　\LastGood\

　　HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery

　　\LastGood\INF/oem5.inf

　　键值: DWORD: 1 (0x1)

　　3、病毒会检测下列进程，并关闭

　　ravmon.exe　　　瑞星的实时监控组件

　　trojdie*　　　　江民监控程序

　　kpop*

　　ccenter*　　　　瑞星杀毒软件控制台相关程序

　　*assistse*

　　kpfw*　　　　　 天网个人防火墙

　　agentsvr*

　　kv*　　　　　　 江民杀软进程

　　kreg*

　　iefind*

　　iparmor* 　　　 木马克星

　　svi.exe

　　uphc*

　　rulewize*

　　fygt*

　　rfwsrv*

　　rfwma*

　　4、通过修改WOW/\realmlist.wtfr文件中地址，可转换服务器。

　　us.logon.worldofwarcraft.com 　　美服

　　eu.logon.worldofwarcraft.com　　 欧服

　　tw.logon.worldofwarcraft.com 　　台服

　　搜集信息包括;

　　companyname;filedescription;fileversion;internalname;legalcopyright;

　　originalfilename;productname;productversion;comments;legaltr

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

　　清除方案：

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

　　(1) 使用安天木马防线“进程管理”关闭病毒进程

　　WINLOGN.EXE

　　(2) 删除病毒文件

　　%\Program Files\Common Files\%

　　%\Windows\%　　　　　　　1.com

　　%\Windows\%　　　　　　　ExERoute.com

　　%\Windows\%　　　　　　　explore.com

　　%\Windows\%　　　　　　　finder.com

　　%\Windows\%　　　　　　　KB890859.log

　　%\Windows\%　　　　　　　WINLOGON.EXE

　　%\Windows\%LastCood\INF\oem5.inf

　　%\Windows\%LastCood\INF\oem5.PNF

　　%\System32\%command 指向MS-Dos的快捷方式

　　%\System32\%　　　　　　dxdiag.com

　　%\System32\%　　　　　　finder.com

　　%\System32\%　　　　　　msconfig.com

　　%\System32\%　　　　　　regedit.com

　　%\System32\%　　　　　　rundll32.com

　　D:\autorun.inf

　　D:\pagefile.pif

　　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

　　修改HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles

　　为HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

　　\shell\open\command

　　"%1" %*

　　修改键值 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles

　　\Shell\Open\Command\@

　　键值: 字符串: "C:\WINDOWS\ExERoute.exe "%1" %*"

　　为HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

　　\shell\open\command

　　键值: 字符串: "%1" %*

　　删除注册表项:HKEY_CURRENT_USER\Software\Microsoft\Windows

　　\ShellNoRoam\Bags\15\Shell

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

　　\CurrentVersion\Run\Torjan Program

　　键值: 字符串: "C:\WINDOWS\WINLOGON.EXE"