dl1.exe是病毒名叫worm.win32.delf.cc（德芙）在任務(wù)管理里中的進(jìn)程! 

中此病毒的癥狀為： 
1.破壞安全模式 
2.不能顯示隱藏文件 
3.結(jié)束常見殺毒軟件以及常用殺毒工具進(jìn)程 
4.監(jiān)控窗口 
5.IFEO映像劫持 
6.可以通過移動(dòng)存儲(chǔ)傳播 

病毒運(yùn)行后 
在C:\Program Files\Common Files\Microsoft Shared\MSInfo\下面釋放一個(gè)同樣由8個(gè)數(shù)字和字母組成的組合的文件名的dll 和一個(gè)同名的dat 文件 
我這里是C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll 
該dll插入Explorer進(jìn)程 
結(jié)束（包括但不限于）以下進(jìn)程 
360rpt.exe 
360Safe.exe 
360tray.exe 
adam.exe 
AgentSvr.exe 
AppSvc32.exe 
autoruns.exe 
avgrssvc.exe 
AvMonitor.exe 
avp.com 
avp.exe 
CCenter.exe 
ccSvcHst.exe 
FileDsty.exe 
FTCleanerShell.exe 
HijackThis.exe 
IceSword.exe 
iparmo.exe 
Iparmor.exe 
isPwdSvc.exe 
kabaload.exe 
KaScrScn.SCR 
KASMain.exe 
KASTask.exe 
KAV32.exe 
KAVDX.exe 
KAVPFW.exe 
KAVSetup.exe 
KAVStart.exe 
KISLnchr.exe 
KMailMon.exe 
KMFilter.exe 
KPFW32.exe 
KPFW32X.exe 
KPFWSvc.exe 
KRegEx.exe 
KRepair.COM 
KsLoader.exe 
KVCenter.kxp 
KvDetect.exe 
KvfwMcl.exe 
KVMonXP.kxp 
KVMonXP_1.kxp 
kvol.exe 
kvolself.exe 
KvReport.kxp 
KVScan.kxp 
KVSrvXP.exe 
KVStub.kxp 
kvupload.exe 
kvwsc.exe 
KvXP.kxp 
KvXP_1.kxp 
KWatch.exe 
KWatch9x.exe 
KWatchX.exe 
loaddll.exe 
MagicSet.exe 
mcconsol.exe 
mmqczj.exe 
mmsk.exe 
NAVSetup.exe 
nod32krn.exe 
nod32kui.exe 
PFW.exe 
PFWLiveUpdate.exe 
QHSET.exe 
Ras.exe 
Rav.exe 
RavMon.exe 
RavMonD.exe 
RavStub.exe 
RavTask.exe 
RegClean.exe 
rfwcfg.exe 
RfwMain.exe 
rfwProxy.exe 
rfwsrv.exe 
RsAgent.exe 
Rsaupd.exe 
runiep.exe 
safelive.exe 
scan32.exe 
shcfg32.exe 
SmartUp.exe 
SREng.exe 
symlcsvc.exe 
SysSafe.exe 
TrojanDetector.exe 
Trojanwall.exe 
TrojDie.kxp 
UIHost.exe 
UmxAgent.exe 
UmxAttachment.exe 
UmxCfg.exe 
UmxFwHlp.exe 
UmxPol.exe 
UpLive.EXE.exe 
WoptiClean.exe 
zxsweep.exe 
常見的殺毒軟件和一些安全工具都被他干掉了 
然后將這些exe通過IFEO進(jìn)行映像劫持 指向c:\program files\common files\microsoft shared\msinfo\41115bdd.dat 

監(jiān)控帶有如下字樣的窗口 如果發(fā)現(xiàn)帶有如下字樣的窗口則馬上將其關(guān)閉 
木馬 
木馬 
病毒 
殺毒 
殺毒 
查毒 
防毒 
反病毒 
專殺 
專殺 
卡巴斯基 
江民 
瑞星 
卡卡社區(qū) 
金山毒霸 
金山社區(qū) 
360安全 
惡意軟件 
流氓軟件 
舉報(bào) 
報(bào)警 
殺軟 
殺軟 
防駭 

以上這些監(jiān)控和關(guān)閉窗口的工作全都是由插入Explorer進(jìn)程的C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll操作的 
比熊貓更狠 讓你找不到進(jìn)程咯 
然后在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks 
下面添加注冊表項(xiàng)目 <{15BD4111-4111-5BDD-115B-111BD1115BDD}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\41115BDD.dll> [N/A] 
達(dá)到開機(jī)啟動(dòng)目的 
而且那個(gè)dll會(huì)監(jiān)控這個(gè)注冊表項(xiàng)目 如果被刪除則立即恢復(fù) 

刪除鍵 
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} 
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} 
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} 
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} 
破壞安全模式 

修改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue滴?x00000000 
使得顯示不了隱藏文件 

釋放8668122F.exe（骨頭語：此文件名在每臺(tái)電腦上各不相同）和autorun.inf到除系統(tǒng)分區(qū)外的其他分區(qū) 


然后通過Explorer進(jìn)程鏈接網(wǎng)絡(luò)下載一個(gè)自解壓文件dl1.exe 到臨時(shí)文件夾 
自解壓文件釋放C:\WINDOWS\system\20290.exe 
C:\WINDOWS\system\ad1309.exe 
C:\WINDOWS\system\DiskFree_hy1.5.exe 
C:\WINDOWS\system\dodolook027.exe等文件 
這里面有驅(qū)動(dòng)木馬 也有流氓軟件 
所有的文件都運(yùn)行后 
添加了如下文件 

C:\WINDOWS\system32\drivers\acpidisk.sys 
C:\WINDOWS\system32\drivers\tolnfo47.sys 
C:\WINDOWS\system32\drivers\vilpew30.sys 
C:\WINDOWS\system32\drivers\ykagjt85.sys 
C:\WINDOWS\system32\1b.dll 
C:\WINDOWS\system32\48a69 
C:\WINDOWS\system32\60e4.exe 
C:\WINDOWS\system32\7df9.dll 
C:\WINDOWS\system32\91b6.dll 
C:\WINDOWS\system32\b60.dll 
C:\WINDOWS\system32\bpjlgv91.dll 
C:\WINDOWS\system32\df91.dll 
C:\WINDOWS\system32\f91b.exe 
C:\WINDOWS\system32\ieagent.exe 
C:\WINDOWS\system32\mprmsgse.axz 
C:\WINDOWS\system32\mscpx32r.det 
C:\WINDOWS\system32\MSRundll.exe 
C:\WINDOWS\system32\ntprint.dIl 
C:\WINDOWS\system32\tolnfo47.dll 
C:\WINDOWS\system32\tolnfo47.ini 
C:\WINDOWS\system32\vilpew30.dll 
C:\WINDOWS\system32\wingjt85.bin 
C:\WINDOWS\system32\wingjt85.dll 
C:\WINDOWS\system32\winkx.dll 
C:\WINDOWS\system32\winlgv91.bin 
C:\WINDOWS\system32\winpew30.bin 
C:\WINDOWS\system32\winpew30.dll 
C:\WINDOWS\system32\ykagjt85.dll 
C:\WINDOWS\system32\cewrndm.dll 
C:\WINDOWS\system32\tolnfo47.dll 
C:\WINDOWS\system32\vilpew30.dll 
C:\WINDOWS\system32\b60.dll 
C:\WINDOWS\03.bmp 
C:\WINDOWS\3fa.exe 
C:\WINDOWS\41115BDD.hlp 
C:\WINDOWS\fa7c.txt 
C:\Program Files\Internet Explorer\PLUGINS\system2.jmp 
C:\Program Files\Internet Explorer\PLUGINS\SystemKb.sys 
還裝了兩個(gè)軟件 一個(gè)是adpush software 一個(gè)是disk free 


========================================================== 

dl1.exe病毒的刪除辦法 


首先:進(jìn)入任務(wù)管理器，結(jié)束掉explorer.exe的進(jìn)程 
然后:用winrar打開C:\Program Files\Common Files\Microsoft Shared\MSInfo 
打開的方法是先啟動(dòng)winrar程序，然后點(diǎn)打開-->一級(jí)一級(jí)的打開上面的目錄,在msinfo里面會(huì)有個(gè)八位的exe執(zhí)行文件如:CF62255D.dll和CF62255D.exe。將其刪除 
第三:啟動(dòng)explorer.exe 
第四:打開注冊表(開始-->運(yùn)行-->regedit-->回車) 
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File  Execution Options下面就是被禁用的殺毒軟件列表了，把相關(guān)的殺毒軟件的名字刪掉就可以運(yùn)行了 
第五:運(yùn)行你機(jī)子上有的殺毒軟件，升級(jí)，全盤殺毒，就OK了。 
        病毒名叫worm.win32.delf.cc(德芙)。有可能有變種，后面的,cc會(huì)變成其它的。

最新評(píng)論