04-03/遭遇 rookit/ynqcq.sys 和 wswci.dll,xexq.dll,baidu.dll等广告程序/2版

endurer 原创
2007-04-01 第2版 补充了Kasersky对一些可疑文件的反应
2007-04-01 第1版

前两天，一位网友的电脑的瑞星报告发现RootKit.Agent.va，文件名为ynqcq.sys，但清除不了，又使用一个木马查杀软件发现有广告程序，因为是未注册，无法清除。

瑞星的登录前扫描对付rootkit是不错的，可惜这位网友使用了自动登录Windows……

用 pe_xscan 扫描日志，发现如下可疑项（有了分析网页，效率提高了很多）：
/---
pe_xscan 07-03-17 by Purple Endurer
2007-3-29 15:17:54
Windows XP Service Pack 2(5.1.2600)
管理员用户组

C:/WINDOWS/System32/svchost.exe * 916 | 2005-8-14 5:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Generic Host Process for Win32 Services | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | svchost.exe | svchost.exe
    c:/progra~1/common~1/lgqmidb/lgqmidb.dll | 2007-3-25 15:2:31 |  | 2, 8, 0, 1 |  |  | 2, 8, 0, 1 |   |  |  |

C:/WINDOWS/Explorer.EXE * 1260 | 2005-8-14 5:0:0 | Microsoft(R) Windows(R) Operating System | 6.00.2900.2180 | Windows Explorer | (C) Microsoft Corporation. All rights reserved. | 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | explorer | EXPLORER.EXE
    C:/WINDOWS/system32/wswci.dll

C:/WINDOWS/system32/rundll32.exe * 164 | 2005-8-14 5:0:0 | Microsoft(R) Windows(R) Operating System | 5.1.2600.2180 | Run a DLL as an App | (C) Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | rundll | RUNDLL.EXE

    C:/PROGRA~1/nund/xexq.dll | 2007-3-25 14:58:29 |   AdDm | 4, 1, 0, 4 | AdDm | Copyright ? 2006 | 4, 1, 0, 4 |   |  | AdDm | AdDm.exe

    C:/PROGRA~1/nund/cjcv.dll | 2007-3-25 14:58:29 |   stdvote | 1, 0, 0, 6 | stdvote | Copyright ? 2006 | 1, 0, 0, 6 |   |  | stdvote | stdvote.dll

C:/WINDOWS/system32/zlglfef.exe * 2068 | 2005-3-25 14:59:0
    C:/WINDOWS/system32/zlglfef.exe | 2005-3-25 14:59:0

O4 - HKLM/../Policies/Explorer/Run: [sys41] C:/Program Files/Common Files/d1216.exe
O4 - HKLM/../Policies/Explorer/Run: [sys42] C:/Documents and Settings/NetworkService/Local Settings/History/d16704.exe
O4 - Global Startup: sys41.lnk -> C:/Program Files/Common Files/d1216.exe
O4 - Global Startup: sys42.lnk ->

O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/restrictions 存在 IE或Internet选项可能受到限制
O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/Control Panel 存在 IE或Internet选项可能受到限制

O23 - 服务: dump_wmimmc (dump_wmimmc) - C:/WINDOWS/system32/drivers/dump_wmimmc.sys(手动)

O23 - 服务: fgqmcdb () - C:/WINDOWS/System32/svchost.exe -k netsvcs -> C:/PROGRA~1/COMMON~1/lgqmidb/lgqmidb.dll | 2007-3-25 15:2:31 |  | 2, 8, 0, 1 |  |  | 2, 8, 0, 1 |   |  |  | (自动)

O23 - 服务: ndcia (ndcia) - C:/WINDOWS/system32/drivers/ndcia.sys(自动)

O23 - 服务: NPF (Netgroup Packet Filter) - system32/drivers/npf.sys | NPF Driver | 3, 0, 0, 18 | NPF Driver - TME extensions | Copyright ? 2003 | 3, 0, 0, 18 | Politecnico di Torino |  | NPF + TME  | NPF.RC(手动)

O23 - 服务: npkcrypt (npkcrypt) - C:/WINDOWS/system32/qqedit/npkcrypt.sys | 2006-12-7 18:17:18 | nProtect KeyCrypt Driver | 4. 0. 0. 0 | nProtect KeyCrypt Driver | Copyright (C) INCA Internet. 2000-2005 | 2005. 6. 22. 1 | INCA Internet Co., Ltd.| ? | npkcrypt.sys | npkcrypt.sys(自动)

O23 - 服务: NPPTNT2 (NPPTNT2) - C:/WINDOWS/system32/npptNT2.sys | 2005-1-4 17:43:8 | nProtect NPSC Kernel Mode Driver for NT | 2005, 1, 5, 1 | nProtect NPSC Kernel Mode Driver for NT | Copyright ? 2000-2005 INCA Internet | 2005, 1, 5, 1 | INCA Internet Co., Ltd. | nProtect | npptNT2 | npptNT2.sys(手动)

O23 - 服务: pxxzqo84 (pxxzqo84) - System32/DRIVERS/pxxzqo84.sys(禁用)

O23 - 服务: romman (romman) - C:/WINDOWS/system32/drivers/romman.sys(自动)

O23 - 服务: stdio (stdio) - C:/WINDOWS/system32/drivers/stdio.sys | 2007-3-25 16:13:0 | Microsoft(R) Windows(R) Operating System | 5.1.2600.2180 | stdio Manager Library | (C) Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | stdio.DLL | stdio.DLL(自动) Kaspersky 报为 Trojan.Win32.Agent.afb

O23 - 服务: vssl (Std vssl Service) - C:/WINDOWS/system32/rundll32.exe C:/PROGRA~1/nund/xexq.dll,Service -s(自动)

O23 - 服务: ynqcq (ynqcq) - System32/DRIVERS/ynqcq.sys(引导)
---/

下载Dr.Web CureIt扫描，只清除了d1216.exe等几个d开的恶意文件。
用IceSword强制删除了ynqcq.sys，stdio.sys及其在注册表中的服务项。
stdio.sys比较牛，改名后又自动恢复为原名，注册表中的服务项在regedit中也删不了。

另一个牛文件是C:/WINDOWS/system32/wswci.dll，Kaspersky 报为 Trojan-Downloader.Win32.Agent.bbb，Windows不存认这个文件存在，连文件时间都无法获取，还好用IceSword复制了一个，传了回来，再强制删除。本来先用IceSword把它从内存中卸载掉更好，不过远程使用IceSword太累了……

在c:/windows/system32下发现了一些可疑文件：realsled.exe（Kaspersky报为not-a-virus:AdWare.Win32.Agent.bs），_ao1.exe（Kaspersky报为Trojan-Downloader.Win32.Agent.bld），baidu.dll，ntdl1.dll（Kaspersky报为not-a-virus:AdWare.Win32.Agent.bs）等可疑文件。

用HijackThis修复，其中O4 - HKLM/../Policies/Explorer/Run这两个是HijackThis 1.99.1不能修复的，可以用瑞星卡卡安全助手来取消。

C:/PROGRA~1/COMMON~1/lgqmidb、C:/PROGRA~1/nund这两个文件夹中的东东很可疑

C:/PROGRA~1/nund/xexq.dll的内部名是AdDm.exe，Ad download and manager（广告下载管理器）？
C:/PROGRA~1/nund/cjcv.dll内部名是stdvote.dll，与广告程序stdstub的一个文件同名……

网友却说是系统备份的东东，没处理……

结果重启电脑后，那个木马查杀软件仍然报告发现广告程序……让网友用IceSword去删除这两个文件夹……