endurer 原创
2005.12.21 第2版 补充了瑞星对Tvdpay.exe的反应。
2005.12.20 第1版
昨天帮一位网友杀了一批病毒，包括几个灰鸽子。
该网友的电脑使用Window XP，连SP1系统补丁也没打。虽然装有江民KV，但还是成了毒窝。不定时弹出多个广告窗口，桌面和开始菜单也被加入恶意网站的链接。
先用瑞星在线免费扫描，结果如下：
2005-12-19 15:53:30 瑞星杀毒助手
Windows XP (5.1.2600)
文件名 病毒名
C:\WINDOWS\system32\msisexec.exe TrojanSpy.Win32.Delf.da
C:\WINDOWS\system32\inetapi32.dll TrojanSpy.Win32.Delf.dh.dll
C:\WINDOWS\Temp\dvdpaye0.DLL Backdoor.Gpigeon.lz
C:\WINDOWS\Temp\Tvdpay0.DLL Backdoor.Gpigeon.qw
C:\WINDOWS\sllserv.exe Trojan.PSW.Lmir.iwu
C:\WINDOWS\ie.exe>>chk.exe Trojan.Win32.LaSta.ba
C:\WINDOWS\ie.exe>>pj.exe Trojan.Win32.LaSta.bc
C:\WINDOWS\Tvdpay_Hook1.DLL Backdoor.Gpigeon.stv
C:\WINDOWS\Tvdpay_HOOk2.DLL Backdoor.GPigeon.uq
C:\WINDOWS\Tvdpay_HOOk3.DLL Backdoor.GPigeon.uq
C:\WINDOWS\Tvdpay.DLL Backdoor.Gpigeon.qw
C:\WINDOWS\Tvdpay_HOOk.DLL Backdoor.GPigeon.uq
C:\WINDOWS\assistseex.exe Trojan.PSW.Lmir.iwu
C:\WINDOWS\uninstallex.exe Trojan.PSW.Lmir.iwu
C:\WINDOWS\ced.dll Trojan.PSW.Lmir.ivh
C:\Documents and Settings\hengg\Local Settings\Temp\F8D2.exe TrojanSpy.Win32.Delf.da
C:\Documents and Settings\hengg\Local Settings\Application Data\3721TRQua\Backdoor\Backdoor.Win32.BlackHole.2005.c\SysLog.exe.malicious Backdoor.JiaoZhu.a
C:\Documents and Settings\hengg\Local Settings\Application Data\3721TRQua\Trojan-PSW\Trojan-PSW.Win32.QQRob.16\NTdhcp.exe.malicious Trojan.PSW.QQRobber.16
C:\Documents and Settings\hengg\「开始」菜单\程序\启动\run.bat Trojan.WinREG.StartPage.d
C:\hao5.exe Trojan.StartPage.m
C:\$NtUninstallQ1494$\3721.bat Trojan.WinREG.StartPage.d
C:\run.bat Trojan.WinREG.StartPage.d
C:\$NtUninstallQ5926809$\sp4custom.dll Trojan.VBS.Wisis.d
C:\boot.exe Trojan.PSW.Lmir.iwx
把病毒文件逐一打包备份后删除。（顺便预告一下：瑞星杀毒助手的下一个版本可能会加入病毒文件打包功能，就不再需要这样麻烦了！
）
接下检查控制面板里的“添加删除程序”，卸载了几个流氓软件。
然后用HijackThis扫描了一个LOG如下：
Logfile of HijackThis v1.99.1
Scan saved at 16:49:04, on 2005-12-19
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\Rundll32.exe
C:\WINDOWS\System32\ctfmon.exe
F:\QQ\QQ.exe
F:\QQ\TIMPlatform.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\WinRAR\WinRAR.exe
F:\WUTemp\HijackThis.exe
