瑞星卡卡安全论坛

Rootkit.FileProt.a病毒怎么删除啊``救命啊``

http://forum.ikaka.com/topic.asp?board=28&artid=7259392

http://forum.ikaka.com/topic.asp?board=28&artid=69792135楼,下载把日志贴上来.

这是一个内核模式驱动程序。

该驱动程序的代码是通过修改DDK的FileSpy例子代码得来。并且，该驱动程序还冒充微软版本信息来欺骗用户。

该驱动加载后会通过IoAttachDeviceToDeviceStack来附加一个过滤设备到文件系统驱动的设备栈上对文件I/O进行监控。

该驱动的作用是保护以下文件和目录不被任意修改和删除：

\Program Files\CNNIC
cdnprot.sys
cdntran.sys
cdnup.exe
cdnctr.exe
cdnuc.exe
\Temp\setup\swp.exe
cdndet.dll
cdnforie.dll
cdnins.dll
\LOCALS~1\Temp\setup\install.exe
\LOCALS~1\Temp\c\auto.exe
\LOCALS~1\Temp\onokx.dll
\LOCALS~1\Temp\c\setup.exe
\Program Files\SearchNet
\system32\drivers\FAD.sys
\system32\drivers\fad.sys
\system32\drivers\Anfad.sys
\system32\ServeHost.exe