科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道关于nttstat.exe的解决办法

关于nttstat.exe的解决办法

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

关于nttstat.exe的解决办法

来源:论坛整理 2008年12月20日

关键字: 安全防范 病毒查杀 病毒资料

  • 评论
  • 分享微博
  • 分享邮件

File size: 57108 bytes
MD5: 9207fdee2f25a834d4e7151475fc7f45
SHA1: 37e51a5632fd615432840fd480abd9ba175a0505
病毒名称:Trojan-Downloader.Win32.QQHelper.vn <Kaspersky命名>

运行后病毒样本,自动复制副本到%SYSTEMroot%及%WINDIR%目录下

Code:
%SYSTEMroot%\nttstat.exe
%WINDIR%\nttstat.exe
%WINDIR%\d6.exe
%WINDIR%\ft001.exe
%WINDIR%\KB9269O4.log
X:\Documents and Settings\你的用户名\Application Data\Cuckoo\Host.dat

又是一个利用IFEO劫持的病毒.

Code:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
<Explorer.exe><%SYSTEMroot%\nttstat.exe>

如图一:

%WINDIR%\d6.exe释放病毒如下:

Code:
%Program Files%\Common Files\CPUSH\Uninst.exe
%Program Files%\Common Files\CPUSH\cpush.dll
X:\Documents and Settings\你的用户名\Local Settings\Temp\nsa1A.tmp

%WINDIR%\ft001.exe释放病毒如下:

Code:
%SYSTEMroot%\drivers\gpkcsw.sys
%SYSTEMroot%\gpkcsw.dll
%SYSTEMroot%\hydlvr.dll
X:\Documents and Settings\你的用户名\Local Settings\Temp\tmp1B.CAB
X:\Documents and Settings\你的用户名\Local Settings\Temp\tmp1B.tmp
X:\Documents and Settings\你的用户名\Local Settings\Temp\tmp1c.tmp
X:\Documents and Settings\你的用户名\Local Settings\Temp\tmp1d.tmp

附sreng日志:
驱动程序

Code:
[gpkcsw / gpkcsw][Stopped/Boot Start]
<\SystemRoot\system32\drivers\gpkcsw.sys><Microsoft Corporation>

==================================
浏览器加载项

Code:
[CAdLogic Object]
{11F09AFD-75AD-4E51-AB43-E09E9351CE16} <C:\Program Files\Common Files\CPUSH\cpush0.dll, >

==================================
正在运行的进程

Code:
[PID: 432][C:\windows\Explorer.EXE]
[C:\windows\KB9269O4.log] [N/A, ]
[PID: 432][C:\windows\nttstat.exe] [N/A, ]
[PID: 432][C:\windows\system32\nttstat.exe]
[PID: 1076][C:\windows\system32\RUNDLL32.exe]
[C:\windows\system32\hydlvr.dll]

解决方法:
1.开始---运行---regedit---依次展开:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
删除:
<Explorer.exe>
2.运行ICESWORD---设置---禁止进线程创建---中止病毒进程

Code:
%WINDIR%\d6.exe

3.使用ICESWORD---设置---禁止进线程创建---强制卸载被插入进程Explorer.EXE<如图二>及
Code:
RUNDLL32.exe
C:\windows\KB9269O4.log
C:\windows\nttstat.exe
C:\windows\system32\hydlvr.dll


4.运行SRENG---启动项目---服务---驱动程序---删除服务

Code:
[gpkcsw / gpkcsw][Stopped/Boot Start]
<\SystemRoot\system32\drivers\gpkcsw.sys><Microsoft Corporation>

5.关闭所有浏览窗口以及一些不必要的程序
运行SREng2,使用:系统修复--浏览器加载项--选中以下的项删除

Code:
C:\Program Files\Common Files\CPUSH\cpush0.dll
6.使用ICESWORD---文件---删除以下病毒文件
%SYSTEMroot%\nttstat.exe
%WINDIR%\nttstat.exe
%WINDIR%\d6.exe
%WINDIR%\ft001.exe
%WINDIR%\KB9269O4.log
%SYSTEMroot%\drivers\gpkcsw.sys
%Program Files%\Common Files\CPUSH\删除文件夹
%SYSTEMroot%\gpkcsw.dll
%SYSTEMroot%\hydlvr.dll
X:\Documents and Settings\你的用户名\Local Settings\Temp\清空文件夹
X:\Documents and Settings\你的用户名\Application Data\Cuckoo\Host.dat

本文来自: 脚本之家(www.jb51.net) 详细出处参考:http://www.jb51.net/article/10011.htm

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章