SysWin64.Sys简单清除

Aditional information

File size: 32873 bytes

CRC32 : 5FD03479

MD5: 4fda59631385d13c98e470d69ce69196

SHA1: 946d07eba7935b02a5902657a401eccdaee88695

SHA160 : 946D07EBA7935B02A5902657A401ECCDAEE88695

packers: UPX 0.89.6 - 1.02 / 1.05 - 1.24

Languages:Borland Delphi 6.0 - 7.0 字串4

运行，释放：

字串4

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Jmp 32873 字节

字串1

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Sys 46697 字节 字串2

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Tao 46697 字节 字串1

写注册表： 字串4

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\

字串7

ShellExecuteHooks

字串2

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Sys 字串6

实现开机自启

字串2

SysWin64.Sys枚举进程，尝试插入QQ.exe\\Explorer.Exe\\VerCLsID.exe

字串5

随后使用Hook技术（WH_CALLWNDPROCRET）监视发送窗口过程消息

字串2

和WH_GETMESSAGE勾子，并拦截GetMessage、PeekMessage等函数返回消息

字串1

模拟鼠标和键盘行为操作获得QQ密码（绕过QQ键盘锁） 字串5

并尝试修改HKEY_CURRENT_USER\\Software\\Tencent\\Gm\\和其他等键 字串3

不过测试时都未实现 :D

字串2

最后在E:下（其他盘未发现）生成Autorun.inf和AutoRun.exe 字串1

………… 字串7

解决方法： 字串3

http://gudugengkekao.ys168.com/下载：

字串3

PowerRmv.com 101KB

字串6

sreng2.5.zip 780KB 字串7

下载东西直接放桌面，断开网络`` 字串7

1、打开PowerRmv，选上“抑制对象再次生成”，填入下面路径后点杀灭：

字串1

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Jmp 字串4

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Sys

字串2

C:\\Program Files\\Internet Explorer\\PLUGINS\\SysWin64.Tao 字串6

E:\\autorun.inf 字串1

E:\\autorun.exe 字串6

2、打开SREng，删除：

字串5

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\

字串9

ShellExecuteHooks]

字串1

字串5

3、重启电脑，修改QQ密码``` 字串7