回复: 关于“无法定位程序输入点 HttpAddUrl 于动态链接库 *.dll 上”的问题
抱歉，刚才临时有点事，未能及时跟进。
先看看原帖吧：
http://bbs.ikaka.com/showtopic-8502004.aspx此贴中的日志可见很多病毒，但是最值得注意的应该是这里，是不是跟楼顶的情况很相似，又是一个系统文件，但是没有版本、没有签名
[PID: 628 / SYSTEM][C:\WINDOWS\system32\lsass.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\system32\mfc40u.dll] [N/A, ]
于是让求助者把lsass.exe和mfc40u.dll上传，对比了md5，证实了刚才的猜测
病毒修改过的lsass.exe的md5：55b6f249431ed02a1c6a8e045115079c
xp sp2系统正常的lsass.exe的md5：891600e79c38249028f1bacc1c6cc5d2
xp sp3系统正常的lsass.exe的md5：bc16a35900d8abdbce0d87e9fcf21f65
病毒修改过的mfc40u.dll的md5：d125ad2c2e2613a34619dd5a9bd92d89
xp sp2系统正常的mfc40u.dll的md5：413e8c9a856d60edc25a7d95a79bbfb9
xp sp3系统正常的mfc40u.dll的md5：fe9263c8ba97ddb0a6d1fd7b4c55cbd0
猜测此时如果贸然删除mfc40u.dll的结果应该是这样的：
让求助者使用XDelBox删除文件，并利用DOS重命名功能去替换lsass.exe和mfc40u.dll，但是重启后系统还是瘫了。这次的报错与以往不同，提示“应用程序正常初始化(0xc00000ba)失败。请单击“确定”终止应用程序。”
这个提示与感染橙八病毒后的症状相似，怀疑病毒可能还修改了其他系统文件。
再翻过来重看日志，初步判断问题可能出在这里：
[PID: 616 / SYSTEM][C:\WINDOWS\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\system32\D3D9_32.DLL] [N/A, ]
当然这还仅仅是推测，还未经证实！
