冕宁县冶勒乡:我的电脑里面有的木马叫作viptray.exe应怎样去除

VIPTray.exe简单分析
(此文章来自安全救援中心这个论坛很不错,有空大家去座座,一定会有收获的)

论坛里面看见很多人电脑上中了VipTray.exe，
网友给我们发来了样本文件， 非常感谢。

然后我反运行后， 监视文件和注册表， 发现没什么反应。

后来反汇编， 分析， 发现这个VipTray.exe 会从
http://ulink4.dudu.com/setup/iebar.exe

下载一个iebar.exe, 并让用户安装。

而这个里面捆绑了后门。

安装完iebar.exe会修改注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

修改键值system 为 C:\WINNT\system32\friendly.exe ZNKwcxv=

创建BHO
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

DLL名称为 WinDefendor.dll

同时 VipTray 会注册成系统服务。

服务描述为:
提供基于 Internet explorer 的网络内容。如果此服务被终止，将会失去这些功能和内容。如果此服务被禁用，其他依赖此服务的网络内容将无法正常运行。

生成的文件有：

c:\WINNT\system32\VIPTray.exe
c:\WINNT\system32\WinDefendor.dll
c:\WINNT\system32\friendly.exe
或:C:\WINDOWS\system32\VIPTray.exe
C:\WINDOWS\system32\WinDefendor.dll
C:\WINDOWS\system32\friendly.exe

清除方法：
使用安全重启， 然后删除掉这三个文件，就可以了。

VIPTray专杀工具.rar
http://xinlihe_88.gbaopan.com/files/0d7e7d26fb2a4a26893e56d4518e7c3d.gbp

你是否确实它真是木马，其实木马并不可怕，木马的唯一目的只是控制你的电脑，或盗你的一些密码，真中木马的话，重启，进入安全模式，去掉系统文件的隐藏属性，手动删除木马文件，再点开始，运行，输入REGEDIT 打开注册表，按CTRL+F 查找，输入木马文件名，将找到的注册项删除，记得找到后再按F3 继续查找，直到全部删除干净，此方法适用于一切木马。但不一定适合所有病毒，至于3721，中搜，雅虎助手等，流氓插件，可以在安全模式下用软件，如兔子魔法清除。