快捷導(dǎo)航

關(guān)于nttstat.exe的解決辦法

更新時(shí)間：2007年05月18日 00:00:00 作者：

File size: 57108 bytes
MD5: 9207fdee2f25a834d4e7151475fc7f45
SHA1: 37e51a5632fd615432840fd480abd9ba175a0505
病毒名稱:Trojan-Downloader.Win32.QQHelper.vn <Kaspersky命名>

運(yùn)行后病毒樣本,自動(dòng)復(fù)制副本到%SYSTEMroot%及%WINDIR%目錄下

Code:

%SYSTEMroot%\nttstat.exe
%WINDIR%\nttstat.exe
%WINDIR%\d6.exe
%WINDIR%\ft001.exe
%WINDIR%\KB9269O4.log
X:\Documents and Settings\你的用戶名\Application Data\Cuckoo\Host.dat

又是一個(gè)利用IFEO劫持的病毒.

Code:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
<Explorer.exe><%SYSTEMroot%\nttstat.exe>

如圖一:

%WINDIR%\d6.exe釋放病毒如下:

Code:

%Program Files%\Common Files\CPUSH\Uninst.exe
%Program Files%\Common Files\CPUSH\cpush.dll
X:\Documents and Settings\你的用戶名\Local Settings\Temp\nsa1A.tmp

%WINDIR%\ft001.exe釋放病毒如下:

Code:

%SYSTEMroot%\drivers\gpkcsw.sys
%SYSTEMroot%\gpkcsw.dll
%SYSTEMroot%\hydlvr.dll
X:\Documents and Settings\你的用戶名\Local Settings\Temp\tmp1B.CAB
X:\Documents and Settings\你的用戶名\Local Settings\Temp\tmp1B.tmp
X:\Documents and Settings\你的用戶名\Local Settings\Temp\tmp1c.tmp
X:\Documents and Settings\你的用戶名\Local Settings\Temp\tmp1d.tmp

附sreng日志:

驅(qū)動(dòng)程序

Code:

[gpkcsw / gpkcsw][Stopped/Boot Start]
<\SystemRoot\system32\drivers\gpkcsw.sys><Microsoft Corporation>

==================================
瀏覽器加載項(xiàng)

Code:

[CAdLogic Object]
{11F09AFD-75AD-4E51-AB43-E09E9351CE16} <C:\Program Files\Common Files\CPUSH\cpush0.dll, >

==================================
正在運(yùn)行的進(jìn)程

Code:

[PID: 432][C:\windows\Explorer.EXE]
      [C:\windows\KB9269O4.log]    [N/A, ]
[PID: 432][C:\windows\nttstat.exe]    [N/A, ]
[PID: 432][C:\windows\system32\nttstat.exe]
[PID: 1076][C:\windows\system32\RUNDLL32.exe]
      [C:\windows\system32\hydlvr.dll]

解決方法:
1.開(kāi)始---運(yùn)行---regedit---依次展開(kāi):
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
刪除:
<Explorer.exe>

2.運(yùn)行ICESWORD---設(shè)置---禁止進(jìn)線程創(chuàng)建---中止病毒進(jìn)程

Code:

%WINDIR%\d6.exe

3.使用ICESWORD---設(shè)置---禁止進(jìn)線程創(chuàng)建---強(qiáng)制卸載被插入進(jìn)程Explorer.EXE<如圖二>及

Code:

RUNDLL32.exe
C:\windows\KB9269O4.log
C:\windows\nttstat.exe
C:\windows\system32\hydlvr.dll

4.運(yùn)行SRENG---啟動(dòng)項(xiàng)目---服務(wù)---驅(qū)動(dòng)程序---刪除服務(wù)

Code:

[gpkcsw / gpkcsw][Stopped/Boot Start]
<\SystemRoot\system32\drivers\gpkcsw.sys><Microsoft Corporation>

5.關(guān)閉所有瀏覽窗口以及一些不必要的程序
運(yùn)行SREng2,使用：系統(tǒng)修復(fù)－－瀏覽器加載項(xiàng)－－選中以下的項(xiàng)刪除

Code:

C:\Program Files\Common Files\CPUSH\cpush0.dll
6.使用ICESWORD---文件---刪除以下病毒文件
%SYSTEMroot%\nttstat.exe
%WINDIR%\nttstat.exe
%WINDIR%\d6.exe
%WINDIR%\ft001.exe
%WINDIR%\KB9269O4.log
%SYSTEMroot%\drivers\gpkcsw.sys
%Program Files%\Common Files\CPUSH\刪除文件夾
%SYSTEMroot%\gpkcsw.dll
%SYSTEMroot%\hydlvr.dll
X:\Documents and Settings\你的用戶名\Local Settings\Temp\清空文件夾
X:\Documents and Settings\你的用戶名\Application Data\Cuckoo\Host.dat