File:IO.pif

Size:19456bytes

MD5:90C509FA6A6C2FA798DBE1CFD7F0E4F1

SHA1:DBF721F48369CFBB2B88D0F5D707924A7FE185EC

CRC32:9822E714

生成如下文件：

%ProgramFiles%CommonFilesServicessvchost.exe

%system32%DirectX10.dll

在每个分区下面生成一个autorun.inf和IO.pif

达到通过U盘等移动存储传播的目的

调用Cmd利用netstop命令停止以下服务

mcshield

NortonAntivirusAutoProtectService

WindowsFirewall/InternetConnectionSharing(ICS)

SystemRestoreService

结束如下进程

regedit.exe

taskgmr.exe

360tray.exe

360safe.exe

噬菌体

木马克星

WoptiClean.exe

EGHOST.exe

Iparmor.exe

MAILMON.EXE

KAVPFW.exe

RogueCleaner.exe

顺序查找以下注册表键值

?.S-1-5-21-1801674531-1645522239-725345543-1003SoftwareJetCarJetCarGeneral的AppPath键值

SOFTWAREThunderNetworkThunderOemthunder_backwnd里面的Path键值

?.SoftwareMicrosoftWindowsCurrentVersionAppPathsMSMSGS.EXE

?.SoftwareMicrosoftWindowsCurrentVersionAppPathsIEXPLORE.EXE

?.SoftwareTENCENTPLATFORM_TYPE_LIST1的TypePath键值

以分别获得网际快车，迅雷，MSN，IE，QQ的安装路径

如果查找到了那么即启动相应的文件

（查找方式为顺序查找，如果查找到安装了网际快车，则启动网际快车，不再往下查找）

启动相应的文件以后把自身注入到该进程空间之中，连接网络，下载木马。

http://*.cn/hz/1.exe~http://*.cn/hz/20.exe

到%ProgramFiles%InternetExplorerPLUGINS下面

命名为随机8位字母和数字组合。

木马植入完毕以后主要生成如下文件（包括但不限于）

%ProgramFiles%InternetExplorerPLUGINSSysWin64.Jmp

%ProgramFiles%InternetExplorerPLUGINSWinSys64.Sys

%ProgramFiles%NetMeetingavpms.dat

%ProgramFiles%NetMeetingavpms.exe

%ProgramFiles%NetMeetingrav*mon.dat（*为随机两位字母）

%ProgramFiles%NetMeetingrav*mon.exe（*为随机两位字母）

%systemroot%ifc222.dll

%systemroot%qiji.dll

%systemroot%rx.dll

%systemroot%sourro.exe

%systemroot%winlogor.exe

%systemroot%Winnt.exe

%SystemRoot%intent.exe

以及以下这些随机7位字母组合文件名的一些盗号木马

%system32%avwlain.dll

%system32%avwlamn.dll

%system32%avwlast.exe

%system32%avzxain.dll

%system32%avzxamn.dll

%system32%avzxast.exe

%system32%kaqhacs.dll

%system32%kaqhcaz.exe

%system32%kaqhczy.dll

%system32%kvdxacf.dll

%system32%kvdxbis.exe

%system32%kvdxbma.dll

%system32%kvmxacf.dll

%system32%kvmxcis.exe

%system32%kvmxcma.dll

%system32%rsjzafg.dll

%system32%rsjzapm.dll

%system32%rsjzasp.exe

%system32%rsmyafg.dll

%system32%rsmyapm.dll

%system32%rsmyasp.exe

其中的盗号木马会盗取如下网络游戏帐号和密码（包括但不限于）

大话西游II

魔域

完美世界

机战

华夏

魔兽世界

问道

征途

热血江湖

奇迹世界

QQ

下载的木马有禁止自动更新和微软的防火墙的作用

并且会把时间修改成2099年1月1日

sreng日志反映如下(本文转载时略,详细见下文)

清除办法：

一、清除病毒主程序：

首先把系统时间改正确

下载Sreng,下载地址:down.45it.com

重启计算机进入安全模式(重启系统长按F8直到出现提示，然后选择进入安全模式)

双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹"并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示

确定更改时，单击“是”然后确定

右键点击C盘（系统盘）点击右键菜单中的“打开”打开磁盘

删除

C:Io.pif

C:autorun.inf

%ProgramFiles%CommonFilesServicessvchost.exe

%system32%DirectX10.dll

同样右键点击其他盘点击右键菜单中的“打开”打开磁盘

删除Io.pif和autorun.inf

二、清除下载的木马

1.还是在安全模式下

打开sreng

启动项目注册表删除如下项目

[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun]

<w><%SystemRoot%WinRaR.exe>[N/A]

<wm><%SystemRoot%winlogor.exe>[]

<wl><%SystemRoot%intent.exe>[N/A]

<mm><%SystemRoot%sourro.exe>[]

<zx><%SystemRoot%winadr.exe>[N/A]

[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun]

<ravztmon><C:ProgramFilesNetMeetingravztmon.exe>[]

<avpms><C:ProgramFilesNetMeetingavpms.exe>[]

<ravwdmon><C:ProgramFilesNetMeetingravwdmon.exe>[]

双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹"并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示

确定更改时，单击“是”然后确定

删除如下文件%ProgramFiles%InternetExplorerPLUGINSSysWin64.Jmp

%ProgramFiles%InternetExplorerPLUGINSWinSys64.Sys

%ProgramFiles%NetMeetingavpms.dat

%ProgramFiles%NetMeetingavpms.exe

%ProgramFiles%NetMeetingrav*mon.dat（*为随机两位字母）

%ProgramFiles%NetMeetingrav*mon.exe（*为随机两位字母）

%systemroot%ifc222.dll

%systemroot%qiji.dll

%systemroot%rx.dll

%systemroot%sourro.exe

%systemroot%winlogor.exe

%systemroot%Winnt.exe

%SystemRoot%intent.exe

2.清除随机7位的dll盗号木马

（其实这些就是*pri.dll的变种，仍可以采用重命名方法清除）

仍然是在安全模式下

打开sreng启动项目注册表

查看[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks]下面的随机7位字母的dll文件，记住他们的名字

然后

双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹"并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是”然后确定

打开C:windowssystem32文件夹单击上面的搜索按钮

更多高级选项中要钩选搜索隐藏的文件和文件夹

分别搜索你记下来的那些随机7位的dll

右键分别把这些文件重命名命名的名字自己要记住最好有规律

重启计算机后

打开sreng

启动项目注册表删除如下项目（即你刚才在启动项目中看见的所有随机7位字母dll的项目）

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks]

<{1E32FA58-3453-FA2D-BC49-F340348ACCE1}><C:WINDOWSsystem32rsmyapm.dll>[]

<{2C87A354-ABC3-DEDE-FF33-3213FD7447C2}><C:WINDOWSsystem32kvdxbma.dll>[]

<{3D47B341-43DF-4563-753F-345FFA3157D3}><C:WINDOWSsystem32kvmxcma.dll>[]

<{1960356A-458E-DE24-BD50-268F589A56A1}><C:WINDOWSsystem32avwlamn.dll>[]

<{12FAACDE-34DA-CCD4-AB4D-DA34485A3421}><C:WINDOWSsystem32rsjzapm.dll>[]

<{1859245F-345D-BC13-AC4F-145D47DA34F1}><C:WINDOWSsystem32avzxamn.dll>[]

<{37D81718-1314-5200-2597-587901018073}><C:WINDOWSsystem32kaqhczy.dll>[]

双击AppInit_DLLs把器键值改为空

并删除刚才重命名的那些dll文件

注：%System32%是一个可变路径。

Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

%SystemRoot%/WINDODWS所在目录

%ProgramFiles%系统程序默认安装目录

【IO.pif变种分析清除(兼答avzx*，kvdx*，等随机7位字母的dll木马群的方法】相关文章：

★ 一个不错的清除winsmd.exe木马的方法

★ IE自动弹出电影页面等的清除教程

★ 灰鸽子服务端卸载程序即灰鸽子官方专杀工具 下载

★ happy2008病毒专杀 happy2008病毒

★ “禽兽”病毒(杀软终结者）的分析和手动解决方法图文第1/2页

★ Autorun随机7位字母命名的病毒专杀工具

★ 电脑每隔10秒“咚”一声(咚咚响)的解决方法

★ fjOs0r.dll、OnlO0r.dll 木马群的清除方法

★ 清除中国网络游戏木马外挂黑客技术大全

★ bsmain.exe 瑞星仇恨者查杀方法