servet - servet.exe - 进程信息

进程文件： servet 或者 servet.exe

进程名称： 未知N/A

描述：

servet.exe 和多种病毒相关程序。木马允许攻击者访问你的计算机，窃取密码和个人数据。

出品者： 未知N/A

属于： 未知N/A

系统进程： 否

后台程序： 是

使用网络： 是

硬件相关： 否

常见错误： 未知N/A

内存使用： 未知N/A

间谍软件： 否

广告软件： 否

病毒： 是

最近电脑突然卡，发现进程了多了很多个servet.exe

感觉不对，马上用在线杀毒http://www.antidu.cn/board/online/ 查杀

瑞星报毒！！！

文件名称：servet.exe

AV命名：Trojan.DL.Win32.Autorun.ytn (RS)

病毒类型：U盘病毒、下载者

行为分析：

1、释放病毒副本：%Systemroot%\\system32\\servet.exe

2、遍历可用的磁盘，在其目录生成：Autorun.inf和Servet.exe。

并每隔一段时间检测是否有移动盘介入。

3、注册为系统服务，开机自启，服务名为Performance Logs and Ale，指向Servet.exe。

4、查找“IE执行保护”、“瑞星卡卡上网安全助手 - IE防漏墙允许”的窗口，并获得其类名，点“允许”或“允许执行”后选“确定”。绕过瑞星与卡卡助手的截杀。

5、每隔15秒访问系统drivers目录，查找klif.sys驱动，若有，则删除。

可能导致卡吧无法正常运行。

6、修改注册表“自动播放”键值，以保证U盘的自动运行性能。

7、反弹连接61.177.95.1**下载木马，包括梦幻、魔兽、QQ等的盗号木马。

解决方法：

1、http://www.antidu.cn/board/helpst/ 下载：PowerRmv、SREng。

2、打开PowerRmv，选上“抑制对象再次生成”填入：

C:\\AutoRun.inf

C:\\servet.exe

D:\\AutoRun.inf

D:\\servet.exe

E:\\AutoRun.inf

E:\\servet.exe

F:\\AutoRun.inf

F:\\servet.exe

C:\\Windows\\system32\\servet.exe

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Jmp

C:\\Program Files\\Internet Explorer\\PLUGINS\\WinSys64.Sys

C:\\Program Files\etMeeting\\ravytmon.cfg

C:\\Program Files\etMeeting\\ravytmon.dat

C:\\Program Files\etMeeting\\ravytmon.exe

C:\\Program Files\etMeeting\\ravzxmon.cfg

C:\\Program Files\etMeeting\\ravzxmon.dat

C:\\Program Files\etMeeting\\ravzxmon.exe

C:\\Windows\\DiskMan32.exe

C:\\Windows\VDispDrv.exe

C:\\Windows\\system32\\7.exe

C:\\Windows\\system32\\8.exe

C:\\Windows\\system32\\9.exe

C:\\Windows\\system32\\avpms.cfg

C:\\Windows\\system32\\avpms.dll

C:\\Windows\\system32\\avpqqsg.cfg

C:\\Windows\\system32\\avpqqsg.dll

C:\\Windows\\system32\\DiskMan32.dll

C:\\Windows\\system32\\msavp.dll

C:\\Windows\\system32\\mscomm.dll

C:\\Windows\\system32\VDispDrv.dll

C:\\Windows\\system32\\TesSafe.sys

C:\\Windows\\system32\\xyupri0.dll

3、打开SREng，删除：

注册表

[HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run]

{DiskMan32}{C:\\winnt\\DiskMan32.exe} []

{NVDispDrv}{C:\\winnt\VDispDrv.exe} []

{ravytmon}{C:\\Program Files\etMeeting\\ravytmon.exe} []

{ravzxmon}{C:\\Program Files\etMeeting\\ravzxmon.exe} []

{WinSysM}{C:\\winnt\\IGM.exe} [N/A]

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\

ShellExecuteHooks]

{{E3F426F6-8634-42A5-A29E-BC694A88FB7D}}{C:\\winnt\\system32\\xyupri0.dll} []

{{5D83AD9C-3BFC-43F5-979D-2904DBC54A8E}}{C:\\Program Files\\Internet Explorer\\PLUGINS\\WinSys64.Sys} []

服务

[Performance Logs and Ale / Windows][Stopped/Auto Start]

{C:\\winnt\\system32\\servet.exe}{N/A}

4、重启电脑，修改QQ、邮箱、网游等木马。