清除DLL挂钩广告一例.

笔者近日发现爱机总是莫名其妙的弹出一些广告网站，并且随机更换，甚是扰人。开始以为仅仅是Maxthon的广告拦截功能出了问题，后来发现即使不开流览器，每隔几分钟还是会弹出。
按照以往的经验，觉得应该是IE挂钩了恶意程式所导致，查看HijackThis的分析结果，IE却一切正常，继而以广告网站名为关键字搜索注册表也一无所获，用Process Explorer察看系统进程，也无任何可疑之处。看来这些广告并不是简单的利用脚本宣传，而是中了间谍程式。

下载金山毒霸的木马专杀工具检测，发现记忆体中载入的模组果然已被感染，感染档案名为msinfo.dll，存在于C:\Program Files\Common Files\Microsoft Shared\MSInfo下，因为它被设定为了隐藏和系统档双重属性，所以必须按照以下方法才能看到，档功能表上的“工具“——“档夹选项”——“查看”里，将“显示系统档夹的内容”和“显示所有档和档夹”前打上勾。笔者用UltraEdit32察看MsInfo.dll内容， 发现里面有temp2.inf这个档的字串，它会在C:\windows\system32下面创建 Temp2.inf这个档，进入资源管理器察看，果然其中的内容就是所有广告的位址。原本以为简单删除了事，却报告文件正在被windows使用，用Process Explorer“查找DLL”的功能检测，MsInfo.dll被挂靠到了Explorer进程中。真是顽固的家伙，进入DOS状态，进入C:\Program Files\Common Files\Microsoft Shared\MSInfo目录，用命令attrib -s -h msinfo.dll去掉该档的隐藏和系统属性，再用DLE命令删除即可。

正常启动后，广告弹出现象消失，进行最后的收尾工作。进入注册表编辑器，将如下两处键值删掉：
①HKEY_CLASSES_ROOTCLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32
②HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32

最后清空IE缓存和暂存档案，至此，已经将该讨厌的间谍程式彻底清除。

[quote]HKEY_LOCAL_MACHINESOFTWARE\Classes\CLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32[quote]
少一个 "\" :
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B48F6409-4740-475B-A474-651F54CCE460}\InProcServer32

若系统磁区为FAT32磁区，还可以使用DOS进入删除.但若为NTFS磁区，则需另行制作开机片才行。

所以这种类型的病毒我有碰过，提供几个我的方法：

1.使用ERD Commander 进入系统，删除要删的档案，连Reg也可以一起清掉。
2.直接使用IceSword的内部功能，将此DLL卸载(会有风险)，然后将他给杀了(一样用IceSword)
方式：使用Process Explore 找出DLL挂在哪哥Porcess上，IceSword的Module Information功能，Unload掉他，再使用File的功能，将隐藏档案删除。(以下图解纯范例)

直接使用IceSword的内部功能，将此DLL卸载(会有风险)，然后将他给杀了(一样用IceSword)
方式：使用Process Explore 找出DLL挂在哪哥Porcess上，IceSword的Module Information功能，Unload掉他，再使用File的功能，将隐藏档案删除。

Process Explore 就能直接Kill Process了~不需另外叫程式~多个步骤
目前还没遇到程序不能杀的情况~不管正常或非正常程序~

下面是引用omniplay于2007-01-13 16:27发表的 :

Process Explore 就能直接Kill Process了~不需另外叫程式~多个步骤
目前还没遇到程序不能杀的情况~不管正常或非正常程序~

不是要Unload 整个Process..而是其中一个DLL..把其中的一个DLL Unload掉..

下面是引用lens690于2007-01-13 17:45发表的 Re:清除DLL挂广告一例:


不是要Unload 整个Process..而是其中一个DLL..把其中的一个DLL Unload掉..

这个可以吗?因为还没碰到案例~呵

Process Explorer不能unload挂载在其他程序的DLL档，Unlocker或Icesword才可以
此外，Process Explorer的Kill Process功能也没有Icesword的Terminate Process功能强悍
至于要在DOS下管理NTFS系统上的档案，可以使用vFloppy来达成目的

下面是引用rien于2007-01-13 22:43发表的 :
Process Explorer不能unload挂载在其他程序的DLL档，Unlocker或Icesword才可以
此外，Process Explorer的Kill Process功能也没有Icesword的Terminate Process功能强悍
至于要在DOS下管理NTFS系统上的档案，可以使用vFloppy来达成目的

上面的图是Kill Process的thread~每一个*.dll都能杀

感谢告知，原本还以为Process Explorer没办法卸载DLL的说
这样以后解毒，当发生Icesword无法执行时，还有Process Explorer可以备用

感谢受用了..也受教了