又见winforms.dll,LYLoadbr.exe,LYLeador.exe,mydata.exe,CnsM.dll等

标签：exe mydata dll Rising 2007 CnsM 2.5

一位网友说他的电脑在使用瑞星查杀出几百个病毒后，系统反应速度仍然比较慢，CPU使用率有时达100%。请偶帮忙检修。

使用 pe_xscan 扫描 log 并分析，发现如下可疑项：

/===

pe_xscan 08-01-16 by Purple Endurer
2008-1-16 14:0:1
Windows XP Service Pack 2(5.1.2600)
非管理员用户组

O4 - HKLM/../Run: [CnsM.dll] Rundll32.exe C:/PROGRA~1/3721/CnsM.dll,Rundll32
O4 - HKLM/../Run: [WinSysM] C:/WINDOWS/235780M.exe
O4 - HKLM/../Run: [WinSysW] C:/WINDOWS/235780L.exe

O4 - HKLM/../Policies/Explorer/Run: [MSDWG32] LYLoadbr.exe
O4 - HKLM/../Policies/Explorer/Run: [MSDCG32 ] LYLeador.exe
O4 - HKLM/../Policies/Explorer/Run: [MSDOG32] LYLoador.exe
O4 - HKLM/../Policies/Explorer/Run: [MSDSG32] LYLoadar.exe
O4 - HKLM/../Policies/Explorer/Run: [MSDHG32] LYLoadhr.exe
O4 - HKLM/../Policies/Explorer/Run: [MSDQG32] LYLoadqr.exe

O20 - AppInit_DLLs = winforms.dll

O23 - 服务: NPF (NetGroup Packet Filter Driver) - system32/drivers/npf.sys | WinPcap Netgroup Packet Filter Driver | 3, 1, 0, 24 | npf | Copyright ? 1999-2004 | 3, 1, 0, 24 | NetGroup - Politecnico di Torino | | NPF + TME | npf.sys(手动)
O23 - 服务: qfqjp (qfqjp) - C:/WINDOWS/System32/drivers/qfqjp.sys | 2007-10-8 15:18:56 | sys 应用程序 | 1, 0, 1, 3 | sys 应用程序 | 版权所有 (C) 2006 | 1, 0, 1, 3 | 北京三七二一科技有限公司| ? | sys | sys.exe(引导)
O23 - 服务: rpcapd (Remote Packet Capture Protocol v.0 (experimental)) - "%ProgramFiles%/WinPcap/rpcapd.exe" -d -f "%ProgramFiles%/WinPcap/rpcapd.ini"(手动)

O24 - ShlExecHook: [4] - {AEB6717E-7E19-11d0-97EE-00C04FD91974} = winforms.dll

O25 - InsCom: {6A202101-A04D-21cf-65CD-31FF5FE1CF20} = C:/WINDOWS/system32/mydata.exe

===/

许多都是以前遇到过的，检查发现只有3721的东东和 qfqjp.sys 还在，其它的估计被瑞星查杀了。

文件说明符 : C:/WINDOWS/System32/drivers/qfqjp.sys
属性 : A---
语言 : 中文(中国)
文件版本 : 1, 0, 1, 3
说明 : sys 应用程序
版权 : 版权所有 (C) 2006
备注 :
产品版本 : 1, 0, 1, 3
产品名称 : sys 应用程序
公司名称 : 北京三七二一科技有限公司
合法商标 :
内部名称 : sys
源文件名 : sys.exe
创建时间 : 2007-10-8 15:18:55
修改时间 : 2007-10-8 15:18:56
访问时间 : 2008-1-16 0:0:0
大小 : 56832 字节 55.512 KB
MD5 : 473419054010299ced29e8e77ba76138
SHA1: B679B8C155F658CEDE9D2EFDE3015404DD169263
CRC32: 496976ca

原来也是3721的东东

装了3721的东东，系统想不慢都难~

启动瑞星卡卡安全上网助手，先查杀流氓软件，扫出3个，清除了。

在[高级功能]—＞[插件管理及卸载] 里把 O24 项卸载掉

在[高级功能]—＞[系统启用项管理]里
1)在左边点击[登录项]，在右边找到 O4 项对应的项目，右击，从弹出的菜单里选择删除；
2)在左边点击[资源管理器插件]，在右边找到 O25 项对应的项目，右击，从弹出的菜单里选择删除；
3)在左边点击[驱动]，在右边找到 O23 项对应的项目，右击，从弹出的菜单里选择删除；
4)在左边点击[应用程序初始化动态连接库]，在右边找到 O20 项对应的项目，右击，从弹出的菜单里选择删除。

打开控制面板里的“添加删除程序”，居然没有3721的卸载项，晕！

到 http://purpleendurer.ys168.com 下载 bat_do并运行，把C:/WINDOWS/System32/drivers/qfqjp.sys 和 C:/PROGRAM FILES/3721 中的文件都拖到 bat_do的窗口中，全选，延时删除。

重启电脑，速度快了许多~

标签：exe,mydata,dll,Rising,2007,CnsM,2.5
From： https://blog.51cto.com/endurer/5878265

又见winforms.dll,LYLoadbr.exe,LYLeador.exe,mydata.exe,CnsM.dll等

相关文章

赞助商

阅读排行