DownloadMX OnlineGames 禽兽病毒的处理

感谢铁军http://hi.baidu.com/litiejun国庆放假还关注大家！感谢爱毒霸的各个版主认真帮助别人！

铁军原创 转载注明出处！谢谢！

发现这个7天长假中，传播病毒的人忙的正欢，长假期间很多人会玩在线游戏。与盗号相关的木马、下载者疯了一样出来。我们安排了病毒分析和客服值班，保证常规更新不受影响，一般的咨询也能及时联系 到客服。论坛提供了网友互助的平台，这七天版主“一把锈剑”、“学习啊学习”，还有几个热心会员一起解决了很多问题。长假也这样热心，真是太感谢他们了。

今天看了论坛的访问数据，10.1－3号这三天，咨询病毒的人很少，估计出去玩儿的人比较多一些。剩下的几天里，论坛发贴量一点不比平常少。还发现这7天中，出了几个难缠的下载者。

1.Win32.DownloadMX.a.2088一个下载者病毒，能从指定网站下载其它木马

下载病毒文件的列表：

病毒会先下载一个经过加密的文件列表，http://www.*****.org/Data/a.txt，然后病毒会对文件列表进行解密，并下载病毒文件，解密后的下载木马的路径为http://isa.*****.coM/Images/Hide/m1.exE

病毒名为：Win32.Troj.OnlineGames.tc.98351

DownloadMX病毒会把OnlineGames病毒下载到用户机器上，路径为%windows%\\dllcache\\svchost.exe

并运行。

2.Win32.Troj.OnlineGames.ge.61096病毒

这个是另一个下载者，因为本身是下载者的缘故，中毒后，会在电脑上发现更多的木马。变种非常多，现象并不完全一致。

通过分析Sreng日志，发现以下特点，首先系统目录下存在以下文件：

\\system32\\sqmapi32.dll

\\system32\\qdshm.dll

\\system32\\mseam.sys

\\system32\\mssock.sys

多个日志发现winsock被修改为sqmapi32.dll或qdshm.dll，这些文件可能只有一两个不存在。 由于部分求助中发现个别的安全模式被破坏，可以使用AV终结者专杀或者清理专家来修复。安装清理清理专家，为避免被劫持，先将KASMain.exe改成任意名字，运行后会自动升级。

重新启动按F8选择进入安全模式，运行金山清理专家，依次点击百宝箱，文件粉碎器，将以下4个文件找到，添加到彻底删除的文件列表中，再点击彻底删除。然后，立即重启电脑。

\\system32\\sqmapi32.dll

\\system32\\qdshm.dll

\\system32\\mseam.sys

\\system32\\mssock.sys

因为病毒同时修改了winsock，删除病毒文件后，会导致不能上网。用金山清理专家，这个问题，很容易搞定。只需要再启动清理专家，百宝箱，LSP修复工具，将LSP修复为系统缺省值即可。

重启系统，看看毒霸有没有继续报病毒。

另外，可以参考手工杀毒的几招：

http://www.newjian.net/Anti-virus/anti_virus_1225.html

3.禽兽病毒节日期间变种频出，基本可以参考

http://www.newjian.net/zuixinbingdu/2007/1001/1124.html来处理。