国际著名美食评论家:Rootkit.CallGate.a病毒

详细请看这个网页http://www.pcav.cn/Article/zxbd/200608/6635.html

在桌面打开运行后，这个wdm.exe释放下列文件：
C:\WINDOWS\system32\wdm.exe
C:\WINDOWS\system32\drivers\ksld.sys
C:\Program Files\Tencent\QQ\TIMPlatfrom.exe
C:\Program Files\Tencent\QQ\TIMPlatform.exe
添加注册表项：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<KernelFaultCheck><C:\WINDOWS\system32\wdm.exe> [Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<load><> []

重启系统后发现ksld.sys通过wdm.exe加载；ADSL虚拟拨号程序自动运行。
此后，用户每进行一步操作，进程列表中增加一个iexplore.exe进程（尽管此时并未打开IE浏览器）。用SSM禁止iexplore.exe运行，无效！（图3）。

查看MD5发现：wdm.exe、TIMPlatfrom.exe、TIMPlatform.exe是同一个程序。原来QQ里面的正常TIMPlatform.exe已不复存在！（图4）。

杀毒流程：
1、用SSM禁止wdm.exe、TIMPlatfrom.exe、TIMPlatform.exe加载。
2、重启。删除上述文件。清理注册表。
3、卸载QQ重新安装。

打开windows任务管理器，察看是否有可疑的进程在运行，如果有把它结束。（Rundll32.exe本身不是病毒，有可能一个dll文件在运行，他可能是病毒或恶意程序之类的东西。）
若无法结束，再察看控制面板〉管理工具〉服务，看有没有与之相关的 服务（特别是“描述”为空的）在运行，把它停止。同时设法查找这些恶意程序文件（如system32文件夹中是否有不明dll或exe文件，C:\Program Files C:\Documents and Settings\user\Local Settings\Temporary Internet Files C:\Documents and Settings\user\Local Settings\Temp 等处是否有不明文件或染毒文件），然后删去。

转载请注明原作者恋曲2010