偶遇 649453.sys / Adware.Cdn / Hacktool.Rootkit
endurer 原创
2007-09-04 第1版
一位网友说最近他的电脑工作速度很慢，让偶通过QQ远程协助处理。
下载 pe_xscan 扫描 log 并分析，只发现一个可疑项：
/===
pe_xscan 07-08-30 by Purple Endurer
2007-9-4 20:58:58
Windows XP Service Pack 2(5.1.2600)
管理员用户组
O23 - 服务: 649453 (649453) - System32/drivers/649453.sys(引导)
===/
文件说明符 : C:/WINDOWS/system32/drivers/649453.sys
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2006-10-21 11:32:58
修改时间 : 2006-10-21 11:33:0
访问时间 : 2007-9-4 0:0:0
大小 : 19968 字节 19.512 KB
MD5 : aaa3f5cf09cbdd013844ecf3764e1466
HSA1: AC835FAB36F34FCB4B05A94803C588952E04F964
Google了一下，没有关于这个文件的信息~
上传到 virustotal 扫描，结果如下：
文件 649453.sys 接收于 2007.09.04 15:16:53 (CET)
当前状态: 完成
结果:10/32 (31.25%)
反病毒引擎 | 版本 | 最后更新 | 扫描结果 |
AhnLab-V3 | 2007.9.4.1 | 2007.09.04 | - |
AntiVir | 7.4.1.66 | 2007.09.04 | TR/Rootkit.Gen |
Authentium | 4.93.8 | 2007.09.04 | - |
Avast | 4.7.1029.0 | 2007.09.04 | - |
AVG | 7.5.0.485 | 2007.09.04 | - |
BitDefender | 7.2 | 2007.09.04 | Adware.CDN |
CAT-QuickHeal | 9.00 | 2007.09.03 | - |
ClamAV | 0.91.2 | 2007.09.04 | - |
DrWeb | 4.33 | 2007.09.04 | - |
eSafe | 7.0.15.0 | 2007.09.03 | Win32.Hacktool |
eTrust-Vet | 31.1.5107 | 2007.09.04 | - |
Ewido | 4.0 | 2007.09.04 | Adware.Cdn |
FileAdvisor | 1 | 2007.09.04 | - |
Fortinet | 3.11.0.0 | 2007.09.04 | - |
F-Prot | 4.3.2.48 | 2007.09.04 | - |
F-Secure | 6.70.13030.0 | 2007.09.04 | - |
Ikarus | T3.1.1.12 | 2007.09.04 | Virus.Win32.Agent.KHP |
Kaspersky | 4.0.2.24 | 2007.09.04 | - |
McAfee | 5111 | 2007.09.03 | - |
Microsoft | 1.2803 | 2007.09.04 | VirTool:WinNT/Protmin.gen!B |
NOD32v2 | 2502 | 2007.09.04 | - |
Norman | 5.80.02 | 2007.09.04 | - |
Panda | 9.0.0.4 | 2007.09.04 | Adware/GoodSearchNow |
Prevx1 | V2 | 2007.09.04 | - |
Rising | 19.39.12.00 | 2007.09.04 | - |
Sophos | 4.21.0 | 2007.09.04 | - |
Sunbelt | 2.2.907.0 | 2007.08.31 | Hacktool.Rootkit |
Symantec | 10 | 2007.09.04 | Hacktool.Rootkit |
TheHacker | 6.1.9.177 | 2007.09.04 | - |
VBA32 | 3.12.2.3 | 2007.09.03 | - |
VirusBuster | 4.3.26:9 | 2007.09.04 | - |
Webwasher-Gateway | 6.0.1 | 2007.09.04 | Trojan.Rootkit.Gen |
附加信息
File size: 19968 bytes
MD5: aaa3f5cf09cbdd013844ecf3764e1466
SHA1: ac835fab36f34fcb4b05a94803c588952e04f964
到 http://ndurer.ys168.com 下载 auto_del，把 C:/WINDOWS/system32/drivers/649453.sys 加入待删文件列表，下次启动时删除。
用 regedit 删除了对应的服务项。
继续检查，发现c盘可以空间很少，临时文件夹里文件N多~
让网友自己用 开始-->程序-->附件-->系统工具-->磁盘清理来清理C盘，用WinRAR 清空c:/windows/prefetch
接着扫描C盘，整理磁盘碎片~
