关于木马群cmdbcs.exe，wsttrs.exe，msccrt.exe，winform.exe,up

发布时间：2012-04-15 01:21:34作者：知识屋

Trojan.PSW.OnlineGames.XX相关病毒

最近很多人中了木马群cmdbcs.exe，wsttrs.exe，msccrt.exe，winform.exe,upxdnd.exe等这个应该是通过木马下载器下载所致这些基本上都是些盗号木马

一般sreng日志表现如下：

启动项目里 (不一定全)
<wsttrs><C:windowswsttrs.exe> [Microsoft Corporation]
<svc><C:DOCUME~1用户名LOCALS~1Tempbyetmr.exe> [Microsoft Corporation]
<g1q><C:DOCUME~1ADMINI~1LOCALS~1Temprundl132.exe> []
<upxdnd><C:DOCUME~1用户名LOCALS~1Tempupxdnd.exe> [Microsoft Corporation]
<winform><C:WINDOWSwinform.exe> [N/A]
<ravshell><C:WINDOWSsystem32SVCH0ST.exe> []
<upxdnd><C:DOCUME~1用户名LOCALS~1Tempupxdnd.exe> [N/A]
<cmdbcs><C:WINDOWScmdbcs.exe> [N/A]
<mppds><C:WINDOWSmppds.exe> [N/A]
<nortonq><C:WINDOWSnortonq.exe> []
<System><C:Program FilesCommon FilesSystemUpdaterun.exe> [N/A]
<5cl3v><C:DOCUME~1用户名LOCALS~1Tempservicer.exe> []
<mppdys><C:WINDOWSmppdys.exe> []
<mhsa><C:DOCUME~1用户名LOCALS~1Tempmhso.exe> []
<msccrt><C:WINDOWSmsccrt.exe> []
<wgs3><C:WINDOWSwgs3.exe> []
<wms3><C:WINDOWSwms3.exe> []
<twin><C:WINDOWSsystem32twunk32.exe> []
<wsttrs><rem c:windowswsttrs.exe> []
<wsdttrs><C:WINDOWSwsdttrs.exe> []
<dcoh><C:WINDOWSdcoh.exe> []
<upxdnd><C:WindowsTempupxdnd.exe> [N/A]
另外
C:WINDOWSmppds.exe
C:WINDOWSwinform.exe
c:windowswsttrs.exe
C:WINDOWScmdbcs.exe
C:WINDOWSmsccrt.exe
C:WINDOWSwsdttrs.exe
C:WINDOWSnortonq.exe
C:WINDOWSdcoh.exe等病毒每个会释放一个dll 插入explorer等进程

解决办法：

如果在进程里看见了类似情况，请按照以下步骤操作

安全模式下(开机后不断按F8键然后出来一个高级菜单选择第一项安全模式进入系统)

打开sreng
启动项目注册表删除如下项目 (有哪个删哪个)
<wsttrs><C:windowswsttrs.exe> [Microsoft Corporation]
<winform><C:WINDOWSwinform.exe> [N/A]
<ravshell><C:WINDOWSsystem32SVCH0ST.exe> []（注意中间是数字0，不是字母O)
<cmdbcs><C:WINDOWScmdbcs.exe> [N/A]
<mppds><C:WINDOWSmppds.exe> [N/A]
<nortonq><C:WINDOWSnortonq.exe> []
<System><C:Program FilesCommon FilesSystemUpdaterun.exe> [N/A]
<mppdys><C:WINDOWSmppdys.exe> []
<msccrt><C:WINDOWSmsccrt.exe> []
<wgs3><C:WINDOWSwgs3.exe> []
<wms3><C:WINDOWSwms3.exe> []
<twin><C:WINDOWSsystem32twunk32.exe> []
<wsttrs><rem c:windowswsttrs.exe> []
<wsdttrs><C:WINDOWSwsdttrs.exe> []
<dcoh><C:WINDOWSdcoh.exe> []
<upxdnd><C:WindowsTempupxdnd.exe> [N/A]

以及所有的Temp文件夹下的文件建立的启动项目(即类似<5cl3v><C:DOCUME~1用户名LOCALS~1Tempservicer.exe> []的项目）
然后
删除上述对应文件
和C:WINDOWSsystem32wsttrs.dll
C:WINDOWSsystem32wsdttrs.dll
C:WINDOWSsystem32winform.dll
C:WINDOWSsystem32cmdbcs.dll
C:WINDOWSsystem32mppds.dll
C:WINDOWSsystem32mppdys.dll
C:WINDOWSsystem32msccrt.dll
C:WINDOWSsystem32wsttrs.dll
C:WINDOWSsystem32nortonq.dll
C:WINDOWSsystem32dcoh.dll

4.4更新<upxdnd><C:WindowsTempupxdnd.exe> [N/A]
4.5更新<dcoh><C:WINDOWSdcoh.exe> []

清空临时文件夹即C:Documents and Settings用户名Local SettingsTemp
和C:WindowsTemp
如果装有QQ请把QQ 安装文件夹中的Timplatform.exe删除把Timplatfrom.exe重命名为Timplatform.exe
如果哪位网友有发现新情况可以和我交流我会及时补充

（免责声明：文章内容如涉及作品内容、版权和其它问题，请及时与我们联系，我们将在第一时间删除内容，文章内容仅供参考）