[转载] 警惕盗窃者木马Trojan-PSW.Win32.OnLineGames.uw

转帖：警惕盗窃者木马Trojan-PSW.Win32.OnLineGames.uw
　　
    该病毒运行后，衍生病毒文件到多个目录下，添加注册表多处启动项，并修改文件执行映射以启动病毒体。病毒体连接网络下载其它病毒体到本机运行，下载的病毒病毒体多为网络游戏盗号程序。由于该病毒修改了多处程序执行映射，可能会造成用户应用程序不能运行。此病毒可通过移动存储体传播。
清除方案：
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 　 (1)使用安天木马防线断开网络，结束病毒进程：
　　　　　　ccqwyxt.exe
　　　　　　irijjmn.exe
　 　 (2)删除病毒衍生文件：
            %Program Files%\bxiedby.inf
　　　　　　%Program Files%\meex.exe
　　　　　　%WinDir%\cmdbcs.exe
　　　　　　%WinDir%\Kvsc3.exe
　　　　　　%WinDir%\mppds.exe
　　　　　　%WinDir%\upxdnd.exe
　　　　　　%System32%\5E15.dll
　　　　　　%System32%\10J20.dll
　　　　　　%System32%\cmdbcs.dll
　　　　　　%System32%\Kvsc3.dll
　　　　　　%System32%\mppds.dll
　　　　　　%System32%\nwiztlbb.dll
　　　　　　%System32%\nwiztlbu.exe
　　　　　　%System32%\nwizwmgjs.dll
　　　　　　%System32%\nwizwmgjs.exe
　　　　　　%System32%\RemoteDbg.dll
　　　　　　%System32%\upxdnd.dll
　　　　　　%Program Files%\Common Files\Microsoft Shared\irijjmn.exe
　　　　　　%Program Files%\Common Files\System\ccqwyxt.exe
　 　(3)删除下列注册表键值：
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　Services\RemoteDbg\Description
　　　　　　Value: String: " 允许 Administrators 组的成员进行远程调试。 "
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　Services\RemoteDbg\DisplayName
　　　　　　Value: String: "Remote Debug Service"
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　Services\RemoteDbg\ImagePath
　　　　　　Value: Type: REG_EXPAND_SZ Length: 53 (0x35) bytes
　　　　　　%WinDir%System32\rundll32.exe RemoteDbg.dll,input.
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Run\bxiedby
　　　　　　Value: String: "%Program Files%\Common　　　　　　
　　　　　　Files\System\ccqwyxt.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Run\cmdbcs
　　　　　　Value: String: "%WinDir%\cmdbcs.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Run\Kvsc3
　　　　　　Value: String: "%WinDir%\Kvsc3.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Run\mppds
　　　　　　Value: String: "%WinDir%\mppds.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Run\oatrfhf
　　　　　　Value: String: "%Program Files%\Common Files\
　　　　　　MicrosoftShared\irijjmn.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Run\upxdnd
　　　　　　Value: String: "%WinDir%upxdnd.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\
　　　　　　CurrentVersion\Image File Execution Options\*.*
　　　　　　( 此外为列出的新建的键值 )\Debugger
　 　 (4)恢复注册表修改项：
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\
　　　　　　CurrentVersion\Prefetcher\LastTraceFailure
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 0 (0)
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\
　　　　　　CurrentVersion\Prefetcher\TracesProcessed
　　　　　　New: DWORD: 50 (0x32)
　　　　　　Old: DWORD: 0 (0)
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\
　　　　　　CurrentVersion\Prefetcher\TracesSuccessful
　　　　　　New: DWORD: 49 (0x31)
　　　　　　Old: DWORD: 0 (0)
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　　　CurrentVersion\Explorer\Advanced\Folder\
　　　　　　Hidden\SHOWALL\CheckedValue
　　　　　　New: DWORD: 0 (0)
　　　　　　Old: DWORD: 1 (0x1)
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
　　　　　　Services\helpsvc\Start
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 2 (0x2)
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
　　　　　　Services\SharedAccess\Start
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 3 (0x3)
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
　　　　　　Services\wuauserv\Start
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 2 (0x2)
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　Services\helpsvc\Start
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 2 (0x2)
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　Services\SharedAccess\Start
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 3 (0x3)
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　　　Services\wuauserv\Start
　　　　　　New: DWORD: 4 (0x4)
　　　　　　Old: DWORD: 2 (0x2)
相关链接请参见：http://www.antiy.com/security/report/20070613.htm