CFEDAC5E.dll,CFEDAC5E.dat(Trojan-PSW.Win32.OnLineGames.mu)的

发布时间：2012-04-15 01:22:49作者：知识屋

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
teYqiu【天下无毒】原创文章，转载请标明。http://hi.baidu.com/teyqiu
百度知道反病毒知识专家崔衍渠授权。『转载请保留此申明！』
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

本文的眼：IFEO劫持比比皆是...

实战案例

问题：某同事WL，今天告诉我他的卡巴斯基启动不了，CAD也起不来。过去一看，发现很多EXE点击无反应，即使改成.com后缀也不行。一下就想到了 IFEO劫持，打开注册表一看（还好丫的没屏蔽regedit.exe），蔚为壮观，稍微有些名气的都挂了...如卡巴、瑞星、360safe等，hijackthis.exe也不能幸免。。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options]

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options360rpt.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options360Safe.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options360tray.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsadam.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsAgentSvr.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsAppSvc32.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsautoruns.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsavgrssvc.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsAvMonitor.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsavp.com]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsavp.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsCCenter.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsccSvcHst.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsFileDsty.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsFTCleanerShell.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsHijackThis.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsIceSword.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsiparmo.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsIparmor.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsisPwdSvc.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionskabaload.exe]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsKaScrScn.SCR]
"Debugger"="C:PROGRA~1COMMON~1MICROS~1MSINFOCFEDAC5E.dat"

既然普通的删除工具不管用，只有祭出 XDELBOX， CMD下:C:PROGRA~1COMMON~1MICROS~1MSINFO用ATTRIB看到有两个 SHR 属性的文件，CFEDAC5E.dll和CFEDAC5E.dat。

操作部分：使用XDELBOX先填入这两个（CFEDAC5E.dll和CFEDAC5E.dat），立即重启后删除，发现 SRENG能用了，又删了几个灰鸽子和小木马。

将病毒添加的IFEO劫持条目全部删除（上面方框中的红字部分），重启后卡巴恢复了活力，扫描内存中的病毒，54个全部成功杀掉... 打ANI漏洞补丁，升级最新的XP关键更新，收工，感谢云云不再赘述。。。

将样本发到我机子上用卡巴一扫居然是Trojan-PSW.Win32.OnLineGames.mu

卡巴报毒显示：

已删除: 木马程序 Trojan-PSW.Win32.OnLineGames.mu 文件: F:Documents and Settingsqiu桌面临时【样本】wangLiCFEDAC5E.dll
已删除: 木马程序 Trojan-PSW.Win32.OnLineGames.mu 文件: F:Documents and Settingsqiu桌面临时【样本】wangLiCFEDAC5E.dat/UPX

（免责声明：文章内容如涉及作品内容、版权和其它问题，请及时与我们联系，我们将在第一时间删除内容，文章内容仅供参考）