瑞星卡卡安全论坛

今天接了几个论坛网友的悄悄话，反映了灰鸽子2006的问题，原来baohe版主总结的手工查杀方法所对应的是灰鸽子2005，而新版的查杀稍微要绕点弯。

灰鸽子2006的一个显著特点是自身的隐藏做得相当不错，因此有不少版本的灰鸽子2006已经在HijackThis、SREng的日志当中看不到服务项了，那么原来的那个根据明显O23服务项来找灰鸽子主文件的方法就没办法直接使用了，那么怎么办呢？

其实灰鸽子2006的命名规则仍然同2005类似，主要的仍然是那几个隐藏文件X.exe、X.dll、XKey.dll、X_hook.dll、XKey.log（这里的X为不定名称），那么建议处理流程如下：
1.下载并使用IceSword（使用说明：http://forum.ikaka.com/topic.asp?board=28&artid=7259392）

2.先关闭IE浏览器，查看IceSword的进程列表中有无隐藏进程，发现红色隐藏进程后，右键单击该进程，选择模块信息，这个时候你就能看到隐藏进程下的灰鸽子文件，记下路径及文件名。

3.重启到安全模式下，显示所有隐藏文件和受保护的系统文件，删除那几个灰鸽子的文件。

4.重启到正常模式，这个时候用HijackThis就能看到已经丢失文件的灰鸽子的O23服务项，把服务从HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services删除。这样，灰鸽子2006就被赶出了你的机器。

近期看到的灰鸽子都加入了Rootkit.Vanti，不知道将来会不会连IceSword也发现不了它。

这个帖子是根据目前我所看到的灰鸽子2006所小结的查杀方法，如有错误，请说明，欢迎大家讨论。

【回复“天天泡泡”的帖子】
你用SSM观察过没？
结果如何？

【回复“baohe”的帖子】

没有试SSM，昨天试装了NOD32，保存的样本文件夹临时忘了加入排除，被干掉了，我辛辛苦苦搜集的样本就这么没了。

引用:

【天天泡泡的贴子】【回复“baohe”的帖子】 没有试SSM，昨天试装了NOD32，保存的样本文件夹临时忘了加入排除，被干掉了，我辛辛苦苦搜集的样本就这么没了。 ………………

NOD32遇到压缩包内的问题是直接删除，唉

进 Rootkit 的鸽子已经不少了...

大部分可以用SRE 看见...很少看见SRE和HJ 无法发现的...

泡泡 你有样本给我发个来..

引用:

【天天泡泡的贴子】NOD32遇到压缩包内的问题是直接删除，唉 ………………

晕
玩儿病毒，就别用太牛的杀软了。
否则，常常会有要哭的感觉。

引用:

【haliao8的贴子】不行!用icesword没有红色隐藏进程!而worm.mail病毒还一直遗留在内存里,专杀也查不到....每次从启都有这个病毒 ………………

好啊。你可以上传一个样本上来吗？我在网上下载一个鸽子样本，虽然名字叫鸽子2006，但是事实是很久前的拉，玩地不够影，你就好心上传下你的上来。麻烦。谢谢。

引用:

【天天泡泡的贴子】NOD32遇到压缩包内的问题是直接删除，唉 ………………

NOD官方默认的设置是不扫压缩包的。

"先关闭IE浏览器，查看IceSword的进程列表中有无隐藏进程，发现红色隐藏进程后，右键单击该进程，选择模块信息，这个时候你就能看到隐藏进程下的灰鸽子文件，记下路径及文件名。"是不是选择模块信息后,所显示的文件及路径全部是灰鸽子文件!

都需要鸽子啊 以后送你们个  哈哈

楼主传个样本吧
s710207@eyou.com

...............汗

呵呵，鸽子...........

Xfocus有一位高手公布了如果做掉IceSword的方法.
他最后说"希望不要让鸽子的作者看到"
结果.
还是发生了.

可以给个样本吗?
kxzhmc500@sina.com

找到了:http://www.xfocus.net/articles/200512/841.html

斑竹有没注册密钥？我刚安装说要密钥啊

泡泡斑竹，给个样本看看
gudugd@yahoo.com.cn

汗。。。当我很无奈地中了鸽子 在苦苦寻找彻底杀掉他的办法时。。你们在这里的讨论让我很想死。。

希望瑞星的新板加上彻底查杀这个病毒的程序

附件: 6814642006829122933.GIF

引用:

【瑟瑟异议的贴子】汗。。。当我很无奈地中了鸽子 在苦苦寻找彻底杀掉他的办法时。。你们在这里的讨论让我很想死。。 ………………

我也有同感,什么时候也能如他们一样呀

HijackThis_815汉化版扫描日志 V1.99.1
保存于      15:17:27, 日期 2006-8-29
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
d:\KAV2006\KWatch.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\Explorer.EXE
d:\KAV2006\KPfwSvc.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Yahoo!\ASSIST~1\ylive.exe
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\PROGRA~1\baigoo\Baigoo.exe
D:\KAV2006\KAVStart.exe
C:\WINDOWS\System32\alg.exe
D:\Program Files\淘宝网\淘宝旺旺\WangWang.exe
D:\KAV2006\KMailMon.EXE
C:\Program Files\ISUNSOFT\LiRen701Access\LiRen.exe
D:\Program Files\TTPlayer\TTPlayer.exe
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exe
C:\WINDOWS\system32\conime.exe
D:\Program Files\Thunder Network\Thunder\Program\Thunder5.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\rundll32.exe
C:\TDdownload\Hijackthis1991zww\HijackThis1991zww.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R3 - URLSearchHook: bho Class - {ED8DFC5C-10EF-45AB-9DC2-0639AFF5A270} - C:\PROGRA~1\COMMON~1\Wnwb\wnwbio.dll
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v8.dll
O2 - BHO: yPhtb - {33BBE430-0E42-4f12-B075-8D21ACB10DCB} - C:\Program Files\Yahoo!\Assistant\Assist\yphtb.dll
O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - C:\WINDOWS\system32\CdnIEHlp.dll
O2 - BHO: Anti Fish - {38928D50-8A48-44C2-945F-D2F23F771410} - C:\Program Files\Yahoo!\Assistant\Assist\yAngling.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: CdnForIE Class - {5C3853CF-C7E0-4946-B3FA-1ABDB6F48108} - C:\PROGRA~1\CNNIC\Cdn\cdnforie.dll
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\YDRAGS~1.DLL
O2 - BHO: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\mmsass~1.dll
O2 - BHO: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:\PROGRA~1\baidu\bar\baidubar.dll
O2 - BHO: bg - {7BDAF75A-0D6F-4F50-AFE9-333D08DF4005} - C:\PROGRA~1\baigoo\baigoobh.dll
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - (no file)
O2 - BHO: update wnwb - {ED8DFC5C-10EF-45AB-9DC2-0639AFF5A270} - C:\PROGRA~1\COMMON~1\Wnwb\wnwbio.dll
O2 - BHO: AssistHelper - {FE3ECAE7-0A37-4506-8A7D-3CC9A04D2CA8} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yassist.dll
O3 - IE工具栏增项: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yasbar.dll
O3 - IE工具栏增项: 百度超级搜霸 - {B580CF65-E151-49C3-B73F-70B13FCA8E86} - C:\PROGRA~1\baidu\bar\baidubar.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent
O4 - 启动项HKLM\\Run: [YLive.exe] C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
O4 - 启动项HKLM\\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [yassistse] "C:\PROGRA~1\Yahoo!\Assistant\yassistse.exe"
O4 - 启动项HKLM\\Run: [Baigoo.exe] C:\PROGRA~1\baigoo\Baigoo.exe
O4 - 启动项HKLM\\Run: [KavStart] "d:\KAV2006\KAVStart.exe" -startup
O4 - 启动项HKLM\\Run: [StormCodec_Helper] "d:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - 启动项HKLM\\Run: [WangWang] D:\Program Files\淘宝网\淘宝旺旺\WangWang.exe
O4 - 启动项HKLM\\RunOnce: [CnsAssecblk] regsvr32.exe /s C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\YASSEC~1.DLL
O4 - 启动项HKLM\\RunOnce: [C:\PROGRA~1\baigoo\plugin\bgoolet\bgoolet.dll] regsvr32 /s C:\PROGRA~1\baigoo\plugin\bgoolet\bgoolet.dll
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - D:\Program Files\Thunder Network\Thunder\Program\GetUrl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - D:\Program Files\Thunder Network\Thunder\Program\GetAllUrl.htm
O8 - IE右键菜单中的新增项目: >>彩信发送<< - res://C:\PROGRA~1\MMSASS~1\mmsass~1.dll/mms.htm
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - C:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 添加到雅虎订阅(&Y) - res://C:\Program Files\Yahoo!\Assistant\Assist\yrss.dll/YRSSMENUEXT
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O9 - 浏览器额外的按钮: 中文域名 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\WINDOWS\system32\CdnIEHlp.dll
O9 - 浏览器额外的“工具”菜单项: 中文域名 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\WINDOWS\system32\CdnIEHlp.dll
O9 - 浏览器额外的按钮: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yahoomail (file missing)
O9 - 浏览器额外的按钮: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=taobao (file missing)
O9 - 浏览器额外的按钮: 中文上网 - {5C3853CF-C7E0-4946-B3FA-1ABDB6F48108} - C:\PROGRA~1\CNNIC\Cdn\cdnforie.dll
O9 - 浏览器额外的“工具”菜单项: 中文上网 - {5C3853CF-C7E0-4946-B3FA-1ABDB6F48108} - C:\PROGRA~1\CNNIC\Cdn\cdnforie.dll
O9 - 浏览器额外的按钮: 雅虎助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yassist (file missing)
O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: 彩E精灵设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\mmsass~1.dll
O9 - 浏览器额外的按钮: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yahoomsg (file missing)
O9 - 浏览器额外的按钮: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=repair (file missing)
O9 - 浏览器额外的“工具”菜单项: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=repair (file missing)
O9 - 浏览器额外的按钮: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=clean (file missing)
O9 - 浏览器额外的“工具”菜单项: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=clean (file missing)
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\cdnns.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\quartz32.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\quartz32.dll
O11 - Options group: [!CNS]  网络实名
O11 - Options group: [CDNCLIENT]  中文上网
O16 - DPF: {73E4740C-08EB-4133-896B-8D0A7C9EE3CD} (AxInputControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AxSafeControls.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1909BE33-DD86-4BFA-A251-5FA83579BCCD}: NameServer = 218.85.157.99 202.101.107.98
O18 - 列举现有的协议: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - 列举现有的协议: cdl - {3DD53D40-7B8B-11D0-B013-00AA0059CE02} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\system32\msvidctl.dll
O18 - 列举现有的协议: file - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: ftp - {79EAC9E3-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: gopher - {79EAC9E4-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: http - {79EAC9E2-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: https - {79EAC9E5-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: ipp - (no CLSID) - (no file)
O18 - 列举现有的协议: its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - 列举现有的协议: javascript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - 列举现有的协议: local - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: mailto - {3050F3DA-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - 列举现有的协议: mhtml - {05300401-BCBC-11D0-85E3-00C04FD85AB4} - C:\WINDOWS\system32\inetcomm.dll
O18 - 列举现有的协议: mk - {79EAC9E6-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: ms-its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - 列举现有的协议: msdaipp - (no CLSID) - (no file)
O18 - 列举现有的协议: res - {3050F3BC-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - 列举现有的协议: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\WINDOWS\system32\mshtml.dll
O18 - 列举现有的协议: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\system32\msvidctl.dll
O18 - 列举现有的协议: vbscript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - 列举现有的协议: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\system32\wiascr.dll
O21 - SSODL: webwork - {4C611512-2C1D-44b2-A044-872AD2AD5A61} - C:\WINDOWS\webwork\webwork.dll
O21 - SSODL: themeadp - {64274C93-3CE7-4663-9C8D-CD2DC8A3590B} - C:\WINDOWS\system32\themeadp.dll
O23 - NT 服务: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - NT 服务: Kingsoft Personal Firewall Service (KPfwSvc) - Kingsoft Corporation - d:\KAV2006\KPfwSvc.EXE
O23 - NT 服务: Kingsoft Antivirus KWatch Service (KWatchSvc) - Kingsoft Corporation - d:\KAV2006\KWatch.EXE

帮我的检查一下好吗

引用:

【闪电风暴的贴子】找到了:http://www.xfocus.net/articles/200512/841.html ………………

看了``贼厉害哦`

汗 没有鸽子
流氓软件一堆
百度搜霸 MMS彩信通 baigoo
建议用超级兔子卸载流氓软件以后再扫一次

还有
O2 - BHO: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
间谍软件
结束如下两个进程：
[RUNDLL32.EXE]
CommandLine = C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\System32\STDSVER.DLL,Service
[RUNDLL32.EXE]
CommandLine = C:\windows\SYSTEM32\stdup.dll,Entry
开始－－控制面板－－性能和维护－－管理工具－－服务
禁用StdService (StdService)
进入注册表
展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]
找到后删除StdService文件夹
用HIJACKTHIS修复
O2 - BHO: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
删除
C:\WINDOWS\SYSTEM32\stdsver.dll
C:\WINDOWS\SYSTEM32\stdup.dll
C:\WINDOWS\SYSTEM32\stdcache\



C:\Program Files\ISUNSOFT\LiRen701Access\LiRen.exe
你能告诉我这个是什么吗

引用:

【闪电风暴的贴子】找到了:http://www.xfocus.net/articles/200512/841.html ………………

为什么这个链接现在打不开呢??
http://www.xfocus.net(连这个也打不开,只显示 没有可以显示的页面~~~晕)

它是用什么方法做掉ICES~~ 的?

从它的驱动下的手吗?

打开了~~
太深~~(看不懂,内核是什么,我还不知道~~唉~)
不过这个网站倒是挺有意思的~~谢谢推荐~~~

谢谢斑竹啦!学习之^^^^^^^

还是不懂啊，瑞星就不能干脆点杀掉吗？