C:\BENQ\解决方案【推荐】

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛 C:\BENQ\解决方案【推荐】

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第五十次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

1 / 1 页

跳转页

不言放弃社区嘉宾帖子:30678 注册: 2004-09-17 来自:蓝色星球	发表于： 2006-04-26 18:00 \| 只看楼主短消息资料字号：小中大 1楼 C:\BENQ\解决方案【推荐】【病毒分析】此次分析以WINXP为基础 C:\BENQ\包含如下两个主要文件： C:\BENQ\IEXPLORE.EXE C:\BENQ\HOOKALL.dll 其中 C:\BENQ\IEXPLORE.EXE自己创建系统进程并修改userinit.exe程序 C:\BENQ\HOOKALL.dll插入到多个系统进程中但都不是系统核心进程【操作参考】 http://forum.ikaka.com/topic.asp?board=28&artid=6979213 下载后打开IceSword 在工具栏中点击－－文件－－设置勾选“禁止进线程创建” 然后结束【除下面进程以外的其它进程】： C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\alg.exe 开始－－运行输入regedit 确定进入注册表修改 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <Userinit><C:\WINDOWS\system32\userinit.exe,C:\BENQ\IEXPLORE.EXE> 为 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <Userinit><C:\WINDOWS\system32\userinit.exe,> 删除 C:\BENQ\IEXPLORE.EXE C:\BENQ\HOOKALL.dll C:\BENQ\ 删除完毕把IceSword的“禁止进线程创建”前的勾去掉【温馨提示】若文件找不到或无法删除文件建议进入安全模式下删除打开我的电脑在工具栏中点击－－工具－－文件夹选项－－查看勾选“显示所有文件及文件夹” 同时把“隐藏受保护的操作系统文件（推荐）”前的勾去掉然后再进行查找一下或利用KILLBOX来删除 KILLBOX下载： http://forum.ikaka.com/topic.asp?board=28&artid=6979213 或利用费尔木马强力清除助手来删除费尔木马强力清除助手使用参考： http://www.xfilt.com/tech/trojan-horse.htm 2006-04-27 07:38:55
不言放弃社区嘉宾帖子:30678 注册: 2004-09-17 来自:蓝色星球	分享到：

天山雪狐叱咤花甲狮帖子:2434 注册: 2005-04-16 来自:	发表于： 2006-04-26 18:23 \| 短消息资料字号：小中大 2楼 BENQ?
天山雪狐叱咤花甲狮帖子:2434 注册: 2005-04-16 来自:

轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:	发表于： 2006-04-26 18:24 \| 短消息资料字号：小中大 3楼就是从中午的时候看到的那一例合并灰鸽子的案例总结出来的吧？
轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:

社区嘉宾

帖子:30678
注册: 2004-09-17
来自:蓝色星球

发表于： 2006-04-26 18:26 | 只看楼主 短消息资料

字号：小中大 4楼

引用:

【天山雪狐的贴子】BENQ?
...........................

你不会认为是明基吧？

轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:	发表于： 2006-04-26 18:32 \| 短消息资料字号：小中大 5楼案例在此。大家有兴趣可以去看一下。不过那篇帖子除了这一个最严重的问题，还合并了灰鸽子等其他问题。不言将对付C:\BENQ\的部分提炼出来放在这里。 http://forum.ikaka.com/topic.asp?board=28&artid=7987866
轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:

社区嘉宾

帖子:30678
注册: 2004-09-17
来自:蓝色星球

发表于： 2006-04-26 18:35 | 只看楼主 短消息资料

字号：小中大 6楼

引用:

【轩辕小聪的贴子】就是从中午的时候看到的那一例合并灰鸽子的案例总结出来的吧？
...........................

是的

不过在本论坛至少已经出现过三例了
在其它论坛没有遇到过这个木马

轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:	发表于： 2006-04-26 18:39 \| 短消息资料字号：小中大 7楼嗯，我之前也在这里见过一例，不过当时没看到SREng日志，是中午的那一例才第一次看到日志。
轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:

轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:	发表于： 2006-04-26 18:50 \| 短消息资料字号：小中大 8楼【回复“不言放弃”的帖子】是否还应有这一步：把注册表中 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <Userinit><C:\WINDOWS\system32\userinit.exe,C:\BENQ\IEXPLORE.EXE> 修改为： <Userinit><C:\WINDOWS\system32\userinit.exe,>
轩辕小聪卡卡技术团队帖子:8368 注册: 2006-01-09 来自:

社区嘉宾

帖子:30678
注册: 2004-09-17
来自:蓝色星球

发表于： 2006-04-27 07:38 | 只看楼主 短消息资料

字号：小中大 9楼

引用:

【轩辕小聪的贴子】【回复“不言放弃”的帖子】
是否还应有这一步：
把注册表中
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\system32\userinit.exe,C:\BENQ\IEXPLORE.EXE>
修改为：
<Userinit><C:\WINDOWS\system32\userinit.exe,>

...........................

是的
以前曾记得应该有这一项的
呵呵

<<上一主题|下一主题>>

1 / 1 页

跳转页

不言放弃社区嘉宾帖子:30678 注册: 2004-09-17 来自:蓝色星球	发表于： 2006-04-26 18:00 \| 只看楼主短消息资料字号：小中大 1楼 C:\BENQ\解决方案【推荐】【病毒分析】此次分析以WINXP为基础 C:\BENQ\包含如下两个主要文件： C:\BENQ\IEXPLORE.EXE C:\BENQ\HOOKALL.dll 其中 C:\BENQ\IEXPLORE.EXE自己创建系统进程并修改userinit.exe程序 C:\BENQ\HOOKALL.dll插入到多个系统进程中但都不是系统核心进程【操作参考】 http://forum.ikaka.com/topic.asp?board=28&artid=6979213 下载后打开IceSword 在工具栏中点击－－文件－－设置勾选“禁止进线程创建” 然后结束【除下面进程以外的其它进程】： C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\alg.exe 开始－－运行输入regedit 确定进入注册表修改 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <Userinit><C:\WINDOWS\system32\userinit.exe,C:\BENQ\IEXPLORE.EXE> 为 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <Userinit><C:\WINDOWS\system32\userinit.exe,> 删除 C:\BENQ\IEXPLORE.EXE C:\BENQ\HOOKALL.dll C:\BENQ\ 删除完毕把IceSword的“禁止进线程创建”前的勾去掉【温馨提示】若文件找不到或无法删除文件建议进入安全模式下删除打开我的电脑在工具栏中点击－－工具－－文件夹选项－－查看勾选“显示所有文件及文件夹” 同时把“隐藏受保护的操作系统文件（推荐）”前的勾去掉然后再进行查找一下或利用KILLBOX来删除 KILLBOX下载： http://forum.ikaka.com/topic.asp?board=28&artid=6979213 或利用费尔木马强力清除助手来删除费尔木马强力清除助手使用参考： http://www.xfilt.com/tech/trojan-horse.htm 2006-04-27 07:38:55
不言放弃社区嘉宾帖子:30678 注册: 2004-09-17 来自:蓝色星球	分享到：