【求助】中了运行exe被自动删除的病毒的来看看 有解答
毒网是www.8wen.c
Xm
这是什么毒?
==============================
中毒后，360safe自动关闭，运行exe不能，被运行的.exe文件被改名放到诸如
C:\RECYCLER\__*.tmp更改hosts文件加入了
219.235.3.16 www.360safe.com
202.165.102.243 dnl-cn1.kaspersky-labs.com
219.235.3.16 www.google.com
等网站在system32下生成文件
ijmrethql.dll
abejwlzid.dll
mnqvixlup.dll
MYZLMX.dll应该是自动生成的文件名在system32\drivers下生成文件
npf.sys //盗传奇密码的木马，但大小为0
在QQ或msn下面也有增加文件 我的是pqtyla.dll
[update] QQ或msn下面还有个wsock32.dll安全模式的注册表项全删HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot那儿
在注册表中
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler下面增加了{55426-BBA98-35A45C...}这样的项 值为C:\WINDOWS\system32\MYZLMX.dll
在注册表中
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellService
ObjectDelayLoad下面增加了nomerwgdw这样的项 值为C:\WINDOWS\system32\ijmrethql.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下似乎没什么不正常的
-------------------------
我试了开QQ用process explorer检查到有个rundll32被跟着执行
而运行的命令行是C:\WINDOWS\system32\1951834.dll 但system32下没有这个文件
与这个文件关联的有QQ安装目录下隐藏的pqtyla.dll
同时调用了ADVAPI32.dll, ole32.dll, kernel32.dll(3个安全dll)
看来被嵌入了什么东西
-------------------------
******************************
暂时的解决办法
******************************
先到winpe下把上面的.dll文件全部删了
注册表中的病毒项到正常时用regedit删了
全部删除后正常运行
360safe或杀毒软件也不报，还有毒没清啊?
忘了说了，本来想用系统还原，但是会提示莫名其妙的如N:\ K:\等带有反斜杠的盘符，因为如果是正常被禁止的盘是不带反斜杠的，最终重启后也是提示系统没作出任何还原。[font_color=#0][font_color=#0]
