致“fzzfzz”和“ 迷你超音速”——关于inetsrv文件夹中的csrss.exe
【说明】收到你发的样本。
这个样本比较怪。解压运行后，csrss.exe只能进入当前用户文件夹中运行。另外一怪是：未见其添加常见的启动项。结果是：重启后csrss.exe不能运行（我的WINDOWS防火墙是关闭的，不知是否与此有关）！直接删除病毒文件，清理注册表了事。
本查杀流程可能与被动中招者有出入，仅供参考。
查杀流程：
一、结束病毒进程csrss.exe（DLL文件图标）
二、清理注册表：
1、HKEY_CLASSES_ROOT\CLSID\
删除：{881F6F06-4620-4070-AD05-BD77D4C56661}
2、HKEY_CLASSES_ROOT\Interface\
删除：{468262B9-8400-4A49-B2E5-CE8550EB1347}
3、HKEY_CLASSES_ROOT\
删除：SimFlyyu.SysBackHelper
4、HKEY_CLASSES_ROOT\TypeLib\
删除：{F63B08CD-3645-474F-8872-BA4293251FF9}
5、HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\
删除：.fy
6、HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\
删除：.rm
7、HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\
删除：.rmvb
8、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
删除："C:\\Documents and Settings\\baohelin\\Local Settings\\Temp\\Rar$EX00.554\\csrss.exe"="C:\\Documents and Settings\\baohelin\\Local Settings\\Temp\\Rar$EX00.554\\csrss.exe:*:Enabled:Generic Hosts for WinService"
三、删除下列文件（图）：
