Trojan-PSW.Win32.QQRob.kl病毒的清除！

[这个贴子最后由西北漠鼠在 2006/12/20 11:31am 第 1 次编辑]

电脑里很多EXE程序的图标都变成了这个样子！
卡巴斯基检测有木马！
“Trojan-PSW.Win32.QQRob.kl
”
而且每个盘根目录里都建立了一个文件夹——System Volume Information
小弟现在貌似已经把这个木马压制住了！可是怎么彻底清除干净？在线等！

图片是这个！

[这个贴子最后由西北漠鼠在 2006/12/13 08:11am 第 1 次编辑]

哈哈，熊猫烧香！
清除办法本论坛办法已经有，这里提供一工具！
http://umipku.googlepages.com/Killqx_Gui_V17C.zip

CISRT2006078f##kJacks.exe setup.exe 熊猫烧香 尼姆亚 解决方案
档案编号：CISRT2006078
病毒名称：Trojan-PSW.Win32.QQRob.ec（Kaspersky）
病毒别名：Worm.Nimaya.a[尼姆亚]（瑞星）
病毒大小：30,465 字节
加壳方式：FSG
样本MD5：2a6ad4fb015a3bfc4acc4ef234609383
样本SHA1：bd2499c1bcddc5a55c87510730e6e826f7dac9bc
发现时间：2006.11
更新时间：2006.11
关联病毒：
传播方式：通过恶意网页传播，其它木马下载，可通过局域网、移动存储设备等传播
技术分析
==========
exe主程序使用白底熊猫烧香图标，运行后复制自身到系统目录：
%System%\f##kJacks.exe
创建自启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"f##kJacks"="%System%\f##kJacks.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"svohost"="%System%\f##kJacks.exe"
在各分区根目录创建副本：
X:\autorun.inf
X:\setup.exe
autorun.inf内容：
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe
尝试删除隐藏管理共享：
net share X$ /del /y
net share admin$ /del /y
net share IPC$ /del /y
尝试结束进程：
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl123.exe
关闭窗口：
QQKav
QQAV
VirusScan
Symantec AntiVirus
iDuba
esteem procs
Wrapped gift Killer
Winsock Expert
msctls_statusbar32
pjf(ustc)
IceSword
删除启动项：
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStatEXE
YLive.exe
yassistse
禁用服务：
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
KVWSC
KVSrvXP
kavsvc
AVP
McAfeeFramework
McShield
McTaskManager
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc
遍历目录，感染除系统目录外其它目录中的exe文件，将自身捆绑在exe文件前端，并在尾部添加标记信息：
QUOTE:WhBoy{原文件名}.exe.{原文件大小}.
被感染exe运行后释放前端病毒文件到%System%\f##kJacks.exe，并使用bat批处理将后边原始exe文件“还原”，bat批处理内容：
:try1
del "file.exe"
if exist "file.exe" goto try1
ren "file.exe.exe" "file.exe"
if exist "file.exe.exe" goto try2
"file.exe"
:try2
del %0
这个环节和Viking类似。
病毒还尝试使用弱密码访问局域网内其它计算机：
password
harley
golf
pussy
mustang
shadow
fish
qwerty
baseball
letmein
ccc
admin
abc
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
super
123asd
ihavenopass
godblessyou
enable
alpha
1234qwer
123abc
aaa
patrick
pat
administrator
root
~
god
foobar
secret
test
test123
temp
temp123
win
asdf
pwd
qwer
yxcv
zxcv
home
xxx
owner
login
Login
love
mypc
mypc123
admin123
mypass
mypass123
Administrator
Guest
admin
Root
病毒体内包含文字：
xXx_WhBoy_Worm
xXx_WhBoy

清除步骤
==========
1. 断开网络
2. 结束病毒进程
%System%\f##kJacks.exe
3. 删除病毒文件：
%System%\f##kJacks.exe
4. 右键点击分区盘符，点击右键菜单中的“打开”进入分区根目录，删除根目录下的文件：
X:\autorun.inf
X:\setup.exe
5. 删除病毒创建的启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"f##kJacks"="%System%\f##kJacks.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"svohost"="%System%\f##kJacks.exe"
6. 修复或重新安装反病毒软件
7. 使用反病毒软件或专杀工具进行全盘扫描，清除恢复被感染的exe文件
[br][br]-=-=-=- 以下内容由 西北漠鼠 在 2006年12月13日 08:12am 时添加 -=-=-=-
http://killer.9i3g.cn/download/Pandakiller.rar

可是每个盘根目录下的System Volume Information这个文件怎么删除啊？

禁止你的系统还原功能就可以删除掉那个文件夹了。

汗一下  2楼的 写的太复杂了
而且很多进程不能删除  
如
Logo1_.exe
Logo_1.exe   这明显是 威金（Worm.Viking）病毒嘛
http://it.rising.com.cn/Channels/Service/2006-07/1153119832d22607.shtml
还有杀毒软件的进程你也很难结束 如果那么轻松解决了
那病毒第一件事情就是解决掉你的杀软和防火墙
System Volume Information 是系统自带的文件夹  
无法删除  如果下查看里面的内容
把文件夹的权限设置下就OK了

拜托  回答问题简单点嘛 ！

System Volume Information 是系统自带的文件夹  
无法删除  如果下查看里面的内容
错了...
那个是系统还原的文件夹.很多病毒都隐藏在里面.
关闭系统还原就行了.

楼上的大哥 你看清楚点哦！
偶可是关闭了系统还原的！

呵呵，有争议，
我也中了这个了，前几天以为是威金   原来是尼姆亚  
不过感觉跟威金差不多嘛```

这个是专杀熊猫烧香的，绿色版
http://www3.jsrjy.com/%B3%AC%BC%B6%D1%B2%BE%AF%D6%AE%D0%DC%C3%A8%C9%D5%CF%E3%B2%A1%B6%BE%D7%A8%C9%B1%20V1.3.rar