有关ntsokele恶意程序的问题。

来源：百度知道 编辑：UC知道 时间：2024/05/22 06:09:07
本人已经用瑞星杀毒软件杀过，但是杀不出来。用奇虎360可以检测出ntsokele 恶意程序，但是清理不干净，老有残留。下面是具体的报告：
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL [NextInstance]: (1)
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL\0000
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL\0000 [Service]: (Rasautol)
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL\0000 [Legacy]: (1)
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL\0000 [ConfigFlags]: (0)
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL\0000 [Class]: (LegacyDriver)
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASAUTOL\0000 [ClassGUID]: ({8ECC055D-047F-11D1-A537-0000F8753ED1})
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RASA

File: ie7.exe
Size: 37376 bytes
MD5: FA931258C1FEFA770EB91A5EB6CA894D
SHA1: 72EC4D4A8E9D15C1DEAF6FCE6F2C8867C6A38F41
CRC32: 04DC6B68
编写语言：Delphi 字串9
病毒运行后
生成如下文件
C:WINDOWSsystem32ie7.exe
同时注册为服务：ie7 ，达到开机启动的目的
服务描述：为即插即用设备提供支持
显示名称：Telepho
启动类型：自动 字串3
启动一个svchost.exe 将自身注入到svchost.exe的进程空间中（方便下载木马，因为svchost.exe一般就是需要联网的，通过他联网，防火墙不会有任何反映） 字串4
试图向瑞星的卡卡上网助手的I.E防漏墙发送模拟按键“允许”的命令
试图向IE执行保护的窗口发送模拟按键“允许执行”的命令
字串6

ping 127.0.0.0 15次
修改系统时间为 1981年1月12日 字串3
在每个分区下生成一个autorun.inf和ie7.exe 字串4
下载木马:http://ads.xxxxxxx.com/100.exe~119.exe到%system32%下面 字串7
下载的木马种类和上回分析的pegefile.pif几乎一样
木马植入完毕后 生成如下一些文件（包括但不限于）
C:Program FilesInternet ExplorerPLUGINSSysWin64.Jmp
C:Program FilesIn.ternet ExplorerPLUGINSWinSys64.Sys（盗号木马，并在E盘下生成Autorun.exe）
C:Program FilesIn