瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 Rootkit.CallGate.a（wdm.exe、ksld.sys）病毒解决方案【转贴】

12   1  /  2  页   跳转页

Rootkit.CallGate.a（wdm.exe、ksld.sys）病毒解决方案【转贴】

收藏
幸福的狮子
头像
快乐黄口狮
  • 帖子:164
  • 注册: 2003-03-15
  • 来自:
发表于： 2006-08-22 10:25 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

Rootkit.CallGate.a（wdm.exe、ksld.sys）病毒解决方案【转贴】

档案编号：CISRT2006024
病毒名称：Trojan-Downloader.Win32.Small.czl（Kaspersky）
病毒别名：Rootkit.CallGate.a（瑞星）、Win32.Troj.PSWLmir.az.106496（金山）
病毒大小：21,145 字节
加壳方式：FSG 2.0
样本MD5：877c749b09446da3afffb01876071624
发现时间：2006.8.21
更新时间：2006.8.21
关联病毒：暂无
传播方式：通过恶意网站传播


技术分析
==========

运行后释放病毒文件到：
%SYSTEM%\wdm.exe

释放驱动程序到：
%SYSTEM%\drivers\ksld.sys

将QQ安装目录下的TIMPlatform.exe改名为TIMPlatfrom.exe，同时释放自身到QQ目录下，文件名为TIMPlatform.exe

在注册表中添加
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
KernelFaultCheck = C:\WINDOWS\system32\wdm.exe
实现随系统启动自动运行

修改HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows下Load的默认值为空

试图窃取传奇游戏的账号、密码等


清除步骤
==========

1. 从“启动”组中删除“腾讯QQ”的快捷方式，暂时禁止其随系统启动自动运行。

2. 删除文件：
     %SYSTEM%\wdm.exe

3. 删除注册表：
     [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]下的KernelFaultCheck

4. 重新启动计算机

5. 删除文件：
     %SYSTEM%\drivers\ksld.sys
          QQ目录下TIMPlatform.exe

6. 将QQ目录下TIMPlatfrom.exe文件改名为TIMPlatform.exe


发布时间：2006-08-21 19:36
  更新时间：2006-08-21 23:24

原帖地址：http://www.cisrt.org/bbs/viewthread.php?tid=203
最后编辑2006-08-31 18:58:55
分享到：
gototop
 
闪电风暴
头像
特邀体验者
  • 帖子:5462
  • 注册: 2005-01-12
  • 来自:0GiNr
发表于： 2006-08-22 10:31 | 短消息 资料
字号： 小 中 大 2楼

置顶帖中有解决方法吧
http://forum.ikaka.com/topic.asp?board=28&artid=8149966
gototop
 
闪电风暴
头像
特邀体验者
  • 帖子:5462
  • 注册: 2005-01-12
  • 来自:0GiNr
发表于： 2006-08-22 10:34 | 短消息 资料
字号： 小 中 大 3楼

引用:
【幸福的狮子的贴子】档案编号：CISRT2006024


6. 将QQ目录下TIMPlatfrom.exe文件改名为TIMPlatform.exe
//baohe版主说这个异常的timplatfrom.exe也是木马文件,这里的意思是木马备份了原来正常的timplatform??
发布时间：2006-08-21 19:36
  更新时间：2006-08-21 23:24

原帖地址：
………………
gototop
 
kangwilliam
头像
初生襁褓狮
  • 帖子:257
  • 注册: 2006-08-13
  • 来自:
发表于： 2006-08-22 10:38 | 短消息 资料
字号： 小 中 大 4楼

【回复“幸福的狮子”的帖子】wo我中了此病毒,但是没有HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]下的KernelFaultCheck
为何
gototop
 
幸福的狮子
头像
快乐黄口狮
  • 帖子:164
  • 注册: 2003-03-15
  • 来自:
发表于： 2006-08-22 11:15 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

引用:
【闪电风暴的贴子】
引用:
【幸福的狮子的贴子】档案编号：CISRT2006024


6. 将QQ目录下TIMPlatfrom.exe文件改名为TIMPlatform.exe
//baohe版主说这个异常的timplatfrom.exe也是木马文件,这里的意思是木马备份了原来正常的timplatform??
发布时间：2006-08-21 19:36
  更新时间：2006-08-21 23:24

原帖地址：
………………

………………


是的。
gototop
 
幸福的狮子
头像
快乐黄口狮
  • 帖子:164
  • 注册: 2003-03-15
  • 来自:
发表于： 2006-08-22 11:24 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

引用:
【kangwilliam的贴子】【回复“幸福的狮子”的帖子】wo我中了此病毒,但是没有HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]下的KernelFaultCheck
为何
………………

可能是中了其它病毒或者变种。
gototop
 
宝宝兔乖乖
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2006-08-22
  • 来自:
发表于： 2006-08-22 21:12 | 短消息 资料
字号： 小 中 大 7楼

wdm.exe

ksld.sys

为什么我的电脑里找不到这二个文件的，请高手帮忙啊，还有啊我把注册表里的RUN这一整个全给删掉了要紧吗？？？？
gototop
 
十字路。
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2006-08-23
  • 来自:
发表于： 2006-08-23 11:57 | 短消息 资料
字号： 小 中 大 8楼

wdm.exe和ksld.sys..啊啊啊。.我现在浏览器,"我的电脑"这些都开不得...我是用别的浏览器...而且杀毒软件被关了所有监控..
gototop
 
逢敌必亮剑
头像
初生襁褓狮
  • 帖子:7
  • 注册: 2006-08-24
  • 来自:
发表于： 2006-08-24 17:13 | 短消息 资料
字号： 小 中 大 9楼

引用:
【十字路。的贴子】wdm.exe和ksld.sys..啊啊啊。.我现在浏览器,"我的电脑"这些都开不得...我是用别的浏览器...而且杀毒软件被关了所有监控..
………………


我也遇到了瑞星监控中心被关的情况。
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-08-24 17:21 | 短消息 资料
字号： 小 中 大 10楼

这个ksld.sys与wdm.exe没有必然联系。
ksld.sys是木马用来隐身的工具。
打个比方吧：
西装——张三可以穿，李四也可以穿。当然，王二麻子也可以穿。
我已经见到另外一个木马，也用ksld.sys。
请大家注意：
不要一见到ksld.sys，就忙着去找wdm.exe。你不一定找得到！
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT