msskye是不是病毒呢怎么好象是恶意插件搞的电脑很卡

机器狗病毒最新的变种.按照上面的应该能解决

最近机器狗病毒盛行，而黑客为了进一步增强病毒的破坏能力，在机器狗病毒中加入了很多“新功能”，应该可以预见到，复合型机器狗将会在未来的一段时间内盛行。

下面是最近截获的这个比较可恶的病毒的简要分析和查杀举例

file: mm.exe

Size: 12340 bytes

Modified: 2008年2月1日, 22:57:01

MD5: 3F93A9CCB07B2341C7BED9CE807CA34D

SHA1: DB9E60225412DED91C3BD783BE5E76AA6AD77C4E

CRC32: 29257F02

1.主病毒（mm.exe）运行后，释放如下文件：

C:\WINDOWS\system32\drivers\pcihdd2.sys

C:\WINDOWS\system32\lssass.exe

注册服务DeepFree Update 指向C:\WINDOWS\system32\drivers\pcihdd2.sys 并加载这个驱动这个驱动即为机器狗的驱动

之后会替换userinit.exe文件

2.之后mm.exe启动C:\WINDOWS\system32\lssass.exe 至此mm.exe（即机器狗）退出大权交给lssass.exe

3.lssass.exe运行后，释放如下文件

C:\WINDOWS\system32\drivers\ati32srv.sys

注册服务ATI2HDDSRV 指向ati32srv.sys 并加载这个驱动该驱动可以恢复系统的SSDT表使得杀毒软件的API hook完全失效...很多杀毒软件的“主动防御”和“自我保护”功能也因此失效

4.调用cmd.exe把KvTrust.dll，UrlGuard.dll，antispy.dll，safemon.dll，ieprot.dll重命名为tmp%d.temp的格式

5.结束很多安全软件进程

avp.com

avp.exe

runiep.exe

PFW.exe

FYFireWall.exe

rfwmain.exe

rfwsrv.exe

KAVPF.exe

KPFW32.exe

nod32kui.exe

nod32.exe

Navapsvc.exe

Navapw32.exe

avconsol.exe

webscanx.exe

NPFMntor.exe

vsstat.exe

KPfwSvc.exe

Ras.exe

RavMonD.exe

mmsk.exe

WoptiClean.exe

QQKav.exe

QQDoctor.exe

EGHOST.exe

360Safe.exe

iparmo.exe

adam.exe

IceSword.exe

360rpt.exe

360tray.exe

AgentSvr.exe

AppSvc32.exe

autoruns.exe

avgrssvc.exe

AvMonitor.exe

CCenter.exe

ccSvcHst.exe

FileDsty.exe

FTCleanerShell.exe

HijackThis.exe

Iparmor.exe

isPwdSvc.exe

kabaload.exe

KaScrScn.SCR

KASMain.exe

KASTask.exe

KAVDX.exe

KAVPFW.exe

KAVSetup.exe

KAVStart.exe

KISLnchr.exe

KMailMon.exe

KMFilter.exe

KPFW32.exe

KPFW32X.exe

KPFWSvc.exe

KRegEx.exe

KRepair.com

KsLoader.exe

KVCenter.kxp

KvDetect.exe

KvfwMcl.exe

KVMonXP.kxp

KVMonXP_1.kxp

kvol.exe

kvolself.exe

KvReport.kxp

KVScan.kxp

KVSrvXP.exe

KVStub.kxp

kvupload.exe

kvwsc.exe

KvXP.kxp

KvXP_1.kxp

KWatch.exe

KWatch9x.exe

KWatchX.exe

MagicSet.exe

mcconsol.exe

mmqczj.exe

KAV32.exe

nod32krn.exe

PFWLiveUpdate.exe

QHSET.exe

RavMonD.exe

RavStub.exe

RegClean.exe

rfwcfg.exe

RfwMain.exe

rfwsrv.exe

RsAgent.exe

Rsaupd.exe

safelive.exe

scan32.exe

shcfg32.exe

SmartUp.exe

SREng.EXE

symlcsvc.exe

SysSafe.exe

TrojanDetector.exe

Trojanwall.exe

TrojDie.kxp

UIHost.exe

UmxAgent.exe

UmxAttachment.exe

UmxCfg.exe

UmxFwHlp.exe

UmxPol.exe

UpLive.exe

procexp.exe

OllyDBG.EXE

OllyICE.EXE

rfwstub.exe

RegTool.exe

rfwProxy.exe

6.映像劫持几乎上面所有安全软件指向“ntsd -d”

7.启动IE进行下载工作，首先会读取yi><kfzmwcnyi.exe> []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

<{2f32e793-9263-4aa5-862f-da2480554715}><C:\WINDOWS\system32\JAA-JAA-1032.dll> []

<{9a8234b5-a04c-4b0c-ad8c-f4fdb94c9543}><C:\WINDOWS\system32\RAA_RAA_1002.dll> []

<{4FA10261-B890-F432-A453-69F1023513F4}><C:\WINDOWS\Fonts\gjcsdyc.dll> []

<{94f833b0-726d-4d09-b715-6352f632ece7}><C:\WINDOWS\system32\QAB_QAB_1011.dll> []

<{0a1d93b9-0e5d-4239-94df-6e673bf85067}><C:\WINDOWS\system32\IIA-IIA-1030.dll> []

==================================

驱动程序

[ATI2HDDSRV / ATI2HDDSRV][Running/Manual Start]

<\\C:\WINDOWS\system32\drivers\ati32srv.sys><N/A>

[DeepFree Update / DeepFree Update][Stopped/Manual Start]

<\\C:\WINDOWS\system32\drivers\pcihdd2.sys><N/A>

[msskye / msskye][Running/Auto Start]

<system32\drivers\msaclue.sys><N/A>

==================================

正在运行的进程

[PID: 1452][C:\WINDOWS\system32\userinit.exe] [N/A, ]

[C:\WINDOWS\system32\HDDGuard.dll] [N/A, ]

[PID: 1472][C:\windows\explorer.exe] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]

[C:\WINDOWS\system32\JAA-JAA-1032.dll] [N/A, ]

[C:\WINDOWS\system32\RAA_RAA_1002.dll] [N/A, ]

[C:\WINDOWS\Fonts\gjcsdyc.dll] [N/A, ]

[C:\WINDOWS\system32\QAB_QAB_1011.dll] [N/A, ]

[C:\WINDOWS\system32\IIA-IIA-1030.dll] [N/A, ]

[C:\WINDOWS\wlqirtuk.dll] [N/A, ]

[C:\WINDOWS\dcadmqws.dll] [N/A, ]

[C:\WINDOWS\system32\upxdnd.dll] [N/A, ]

[C:\WINDOWS\system32\WSockDrv32.dll] [N/A, ]

[C:\WINDOWS\system32\LotusHlp.dll] [N/A, ]

[C:\WINDOWS\system32\PTSShell.dll] [N/A, ]

[C:\WINDOWS\system32\SHAProc.dll] [N/A, ]

[C:\WINDOWS\system32\HDDGuard.dll] [N/A, ]

...

查杀方法举例：

1.手动查杀：

下载sreng：32.dll

C:\WINDOWS\system32\mswmkkk32.dll

C:\WINDOWS\system32\mswwwdj32.dll

C:\WINDOWS\system32\niluw.dll

C:\WINDOWS\system32\otpiexpqj.dll

C:\WINDOWS\system32\PTSShell.dll

C:\WINDOWS\system32\QAB_QAB_1011.dll

C:\WINDOWS\system32\RAA_RAA_1002.dll

C:\WINDOWS\system32\SHAProc.dll

C:\WINDOWS\system32\upxdnd.dll

C:\WINDOWS\system32\Wingin.exe

C:\WINDOWS\system32\WSockDrv32.dll

C:\WINDOWS\system32\xbwqogywm.dll

C:\WINDOWS\dcadmqws.dll

C:\WINDOWS\kfzmwcnyi.exe

C:\WINDOWS\litknpar.exe

C:\WINDOWS\LotusHlp.exe

C:\WINDOWS\PTSShell.exe

C:\WINDOWS\SHAProc.exe

C:\WINDOWS\upxdnd.exe

C:\WINDOWS\wlqirtuk.dll

C:\WINDOWS\WSockDrv32.exe

解压下载的Xdelbox压缩包内所有文件到一个文件夹下

之后打开Xdelbox.exe

在下面的大框中单击右键点击 “剪贴板导入不检查路径”

之后刚才复制的那个文件列表将出现在下面的大框中

然后再在下面的大框中单击右键点击 “立即重启执行删除”

软件会自动重启计算机

重启计算机以后会有两个系统进入的选择的倒计时界面

第一个是你原来的windows系统

第二个是这个软件给你设定的dos系统

不用你管，它会自动选择进入第二个系统

类似dos的界面滚动完毕以后病毒就被删除了

之后他会自动重启进入正常模式

重启后千万不要联网

打开sreng 删除上面涉及到的启动项目和IFEO项目

然后双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定

复制C:\Windows\system32\dllcache\userinit.exe 到C:\Windows\system32覆盖已有文件如果提示覆盖错误在任务管理器里面结束userinit.exe即可

2.使用专杀处理（以瑞星近期出的机器狗专杀为例）

经测试该专杀可以杀灭目前大部分机器狗下载的木马并可自动修复userinit.exe等系统文件

瑞星机器狗专杀：/zsgj/RavEdog.exe

江民机器狗免疫程序下载：/download/machinedogpatch.exe

360机器狗专杀：/4002404/2595242.html

金山机器狗专杀：/attachment.php?aid=16100608

超级巡警机器狗专杀：/utility/antivirus/trojan/detail-81071.html

综上所述，复合型机器狗病毒具有机器狗的完全特征并加入了一些“新的功能”比如映像劫持杀毒软件，破坏杀毒软件的API hook等今后可能会加入更多的破坏功能

目前此类病毒的主要传播途径是网页挂马

所以希望大家注意以下几点：

1.及时升级杀毒软件和防火墙（老生常谈）

2.一定要打全Windows系统补丁（非常重要）

3.各种软件也尽量使用最新版本，尤其迅雷，PPstream，realplayer，暴风影音，百度toolbar等等，现在大多以利用这些软件的漏洞挂马为主