清除DLL掛鈎廣告一例.

筆者近日發現愛機總是莫名其妙的彈出一些廣告網站，並且隨機更換，甚是擾人。開始以為僅僅是Maxthon的廣告攔截功能出了問題，後來發現即使不開流覽器，每隔幾分鐘還是會彈出。
按照以往的經驗，覺得應該是IE掛鈎了惡意程式所導致，查看HijackThis的分析結果，IE卻一切正常，繼而以廣告網站名為關鍵字搜索註冊表也一無所獲，用Process Explorer察看系統進程，也無任何可疑之處。看來這些廣告並不是簡單的利用腳本宣傳，而是中了間諜程式。

下載金山毒霸的木馬專殺工具檢測，發現記憶體中載入的模組果然已被感染，感染檔案名為msinfo.dll，存在於C:\Program Files\Common Files\Microsoft Shared\MSInfo下，因為它被設定為了隱藏和系統檔雙重屬性，所以必須按照以下方法才能看到，檔功能表上的“工具“——“檔夾選項”——“查看”裏，將“顯示系統檔夾的內容”和“顯示所有檔和檔夾”前打上勾。筆者用UltraEdit32察看MsInfo.dll內容， 發現裏面有temp2.inf這個檔的字串，它會在C:\windows\system32下麵創建 Temp2.inf這個檔，進入資源管理器察看，果然其中的內容就是所有廣告的位址。原本以為簡單刪除了事，卻報告文件正在被windows使用，用Process Explorer“查找DLL”的功能檢測，MsInfo.dll被掛靠到了Explorer進程中。真是頑固的傢伙，進入DOS狀態，進入C:\Program Files\Common Files\Microsoft Shared\MSInfo目錄，用命令attrib -s -h msinfo.dll去掉該檔的隱藏和系統屬性，再用DLE命令刪除即可。

正常啟動後，廣告彈出現象消失，進行最後的收尾工作。進入註冊表編輯器，將如下兩處鍵值刪掉：
①HKEY_CLASSES_ROOTCLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32
②HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32

最後清空IE緩存和暫存檔案，至此，已經將該討厭的間諜程式徹底清除。

[quote]HKEY_LOCAL_MACHINESOFTWARE\Classes\CLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32[quote]
少一個 "\" :
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32

若系統磁區為FAT32磁區，還可以使用DOS進入刪除.但若為NTFS磁區，則需另行製作開機片才行。

所以這種類型的病毒我有碰過，提供幾個我的方法：

1.使用ERD Commander 進入系統，刪除要刪的檔案，連Reg也可以一起清掉。
2.直接使用IceSword的內部功能，將此DLL卸載(會有風險)，然後將他給殺了(一樣用IceSword)
方式：使用Process Explore 找出DLL掛在哪哥Porcess上，IceSword的Module Information功能，Unload掉他，再使用File的功能，將隱藏檔案刪除。(以下圖解純範例)

直接使用IceSword的內部功能，將此DLL卸載(會有風險)，然後將他給殺了(一樣用IceSword)
方式：使用Process Explore 找出DLL掛在哪哥Porcess上，IceSword的Module Information功能，Unload掉他，再使用File的功能，將隱藏檔案刪除。

Process Explore 就能直接Kill Process了~不需另外叫程式~多個步驟
目前還沒遇到程序不能殺的情況~不管正常或非正常程序~

下面是引用omniplay於2007-01-13 16:27發表的 :

Process Explore 就能直接Kill Process了~不需另外叫程式~多個步驟
目前還沒遇到程序不能殺的情況~不管正常或非正常程序~

不是要Unload 整個Process..而是其中一個DLL..把其中的一個DLL Unload掉..

下面是引用lens690於2007-01-13 17:45發表的 Re:清除DLL掛廣告一例:


不是要Unload 整個Process..而是其中一個DLL..把其中的一個DLL Unload掉..

這個可以嗎?因為還沒碰到案例~呵

Process Explorer不能unload掛載在其他程序的DLL檔，Unlocker或Icesword才可以
此外，Process Explorer的Kill Process功能也沒有Icesword的Terminate Process功能強悍
至於要在DOS下管理NTFS系統上的檔案，可以使用vFloppy來達成目的

下面是引用rien於2007-01-13 22:43發表的 :
Process Explorer不能unload掛載在其他程序的DLL檔，Unlocker或Icesword才可以
此外，Process Explorer的Kill Process功能也沒有Icesword的Terminate Process功能強悍
至於要在DOS下管理NTFS系統上的檔案，可以使用vFloppy來達成目的

上面的圖是Kill Process的thread~每一個*.dll都能殺

感謝告知，原本還以為Process Explorer沒辦法卸載DLL的說
這樣以後解毒，當發生Icesword無法執行時，還有Process Explorer可以備用

感謝受用了..也受教了