致“fzzfzz”和“ 迷你超音速”——关于inetsrv文件夹中的csrss.exe

mxucdy 初生襁褓狮帖子:77 注册: 2006-09-03 来自:	发表于： 2006-09-07 16:45 \| 短消息资料字号：小中大 51楼
mxucdy 初生襁褓狮帖子:77 注册: 2006-09-03 来自:

卡卡技术团队

帖子:8368
注册: 2006-01-09
来自:

发表于： 2006-09-07 17:08 | 短消息资料

字号：小中大 52楼

引用:

【fzzfzz的贴子】

机器里能找到上面说的各个文件,
逐个检查:
unins000.dat是个wimamp文件,日期不是近期的,size也各不相同.可以认为无关
nvapps.xml没有找到.
其他都找到,而且是这1-2天的新文件.确实是可疑文件!!!

最为可疑的是:找到了一个COMEventHelper.bat文件
它的内容高度可疑,有病毒自我复制的特点
内容如下:

@echo off
:loop
net stop COMEventHelper
del c:\windows\system32\COMEventHelper.dll
if exist "c:\windows\system32\COMEventHelper.dll" goto loop
copy c:\windows\system32\Update\COMEventHelper.dll c:\windows\system32\COMEventHelper.dll
del c:\windows\system32\Update\COMEventHelper.dll
net start COMEventHelper
del %0

请各位一起看一看,COMEventHelper是个什么东西?

………………

从内容上看，应该是在连网之后，如果发现目标服务器中有新的COMEventHelper.dll，则下载到c:\windows\system32\Update文件夹中，然后运行这个批处理，用新的COMEventHelper.dll替换旧的。完成此文件的更新之后，删除下载在c:\windows\system32\Update文件夹中的COMEventHelper.dll并删除自身。
从这个看起来，它有自动更新的功能。

卡卡技术团队

帖子:8368
注册: 2006-01-09
来自:

发表于： 2006-09-07 17:08 | 短消息资料

字号：小中大 53楼

引用:

【fzzfzz的贴子】

机器里能找到上面说的各个文件,
逐个检查:
unins000.dat是个wimamp文件,日期不是近期的,size也各不相同.可以认为无关
nvapps.xml没有找到.
其他都找到,而且是这1-2天的新文件.确实是可疑文件!!!

最为可疑的是:找到了一个COMEventHelper.bat文件
它的内容高度可疑,有病毒自我复制的特点
内容如下:

@echo off
:loop
net stop COMEventHelper
del c:\windows\system32\COMEventHelper.dll
if exist "c:\windows\system32\COMEventHelper.dll" goto loop
copy c:\windows\system32\Update\COMEventHelper.dll c:\windows\system32\COMEventHelper.dll
del c:\windows\system32\Update\COMEventHelper.dll
net start COMEventHelper
del %0

请各位一起看一看,COMEventHelper是个什么东西?

………………

从内容上看，应该是在连网之后，如果发现目标服务器中有新的COMEventHelper.dll，则下载到c:\windows\system32\Update文件夹中，然后运行这个批处理，用新的COMEventHelper.dll替换旧的。完成此文件的更新之后，删除下载在c:\windows\system32\Update文件夹中的COMEventHelper.dll并删除自身。
从这个看起来，它有自动更新的功能。

mxucdy 初生襁褓狮帖子:77 注册: 2006-09-03 来自:	发表于： 2006-09-07 17:12 \| 短消息资料字号：小中大 54楼楼主有点衰呀,这么外没搞定.
mxucdy 初生襁褓狮帖子:77 注册: 2006-09-03 来自:

mxucdy 初生襁褓狮帖子:77 注册: 2006-09-03 来自:	发表于： 2006-09-07 17:13 \| 短消息资料字号：小中大 55楼楼主有点衰呀,这么外没搞定.
mxucdy 初生襁褓狮帖子:77 注册: 2006-09-03 来自:

fzzfzz 拙长孩提狮帖子:121 注册: 2005-09-04 来自:	发表于： 2006-09-07 17:45 \| 短消息资料字号：小中大 56楼是有点衰,奋斗了2天了,还没有彻底搞掂. 现在情况好像是好了. 我已经把SSM撤除了自动启动了,重新开机观察情况. 但是不知道改过什么地方的影响, 做ping 命令不能做, 都是timeout! 但是上网可以.MSN可以QQ也可以, 感觉好像有点点卡
fzzfzz 拙长孩提狮帖子:121 注册: 2005-09-04 来自:

fzzfzz 拙长孩提狮帖子:121 注册: 2005-09-04 来自:	发表于： 2006-09-07 19:52 \| 短消息资料字号：小中大 57楼上面说的ping 的问题是误会,没有不正常. 到目前为止,情况良好.但愿问题就此解决了.
fzzfzz 拙长孩提狮帖子:121 注册: 2005-09-04 来自:

初生襁褓狮

帖子:26
注册: 2006-09-05
来自:

发表于： 2006-09-08 08:44 | 短消息资料

字号：小中大 58楼

引用:

【fzzfzz的贴子】上面说的ping 的问题是误会,没有不正常.

到目前为止,情况良好.但愿问题就此解决了.

………………

兄弟别急，我正在学习系统标准服务，估计再有一个月就可以解决问题啦

迷你超音速初生襁褓狮帖子:26 注册: 2006-09-05 来自:	发表于： 2006-09-08 10:11 \| 短消息资料字号：小中大 59楼病毒下载路径 C:\Documents and Settings\Default User.WIN2K\Local Settings\Temporary Internet Files\Content.IE5\ 下的子文件夹
迷你超音速初生襁褓狮帖子:26 注册: 2006-09-05 来自:

迷你超音速初生襁褓狮帖子:26 注册: 2006-09-05 来自:	发表于： 2006-09-08 10:15 \| 短消息资料字号：小中大 60楼 KERNEL32.DLL advapi32.dll comctl32.dll gdi32.dll ole32.dll oleaut32.dll shell32.dll user32.dll version.dll LoadLibraryA GetProcAddress VirtualProtect RegCloseKey ImageList_Add SaveDC IsEqualGUID VariantCopy ShellExecuteA GetDC VerQueryValueA ? ? ? ? 紡 x? P? ? ? ? 1 1 COMAdEvent.dll DllCanUnloadNow DllGetClassObject DllRegisterServer DllUnregisterServer m2 病毒文件COMAdEvent[1].txt中的一段内容
迷你超音速初生襁褓狮帖子:26 注册: 2006-09-05 来自:

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第五十次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 致“fzzfzz”和“ 迷你超音速”——关于inetsrv文件夹中的csrss.exe

致“fzzfzz”和“ 迷你超音速”——关于inetsrv文件夹中的csrss.exe

瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛致“fzzfzz”和“ 迷你超音速”——关于inetsrv文件夹中的csrss.exe