病毒Ytnauexu

【原文写于  29 December 2005，注】

 

我的机器出毛病了～～～～～
前天突然就播音乐时每隔一段时间有一个明显的延迟
怀疑是声卡有问题
重新拔插一下
结果出现一个更奇怪的问题：只要接上耳塞及延长线，声卡就检测不到！！

问别人借了块ISA声卡
音乐播放时仍然会有间歇性延迟
我的爱机出毛病了～～～～～

搞了半天，竟然是病毒！！
一个很奇怪的病毒
最初的现象就是放mp3时一顿一顿的
然后icesword就能看到一个红色的iexplorer！而且一杀掉就重启
看这个iexplorer的模块，里边有两个很奇怪的东西：system32/Ytnauexu.d1|和%temp%/Ytnauexu.dl1
马上动手删！（让你拽，我跑linux删去^_^）
删掉后就出事了
进系统时间很长，在“正在准备网络连接“的时候等很久，中途弹个框说“至少一个服务或设备启动失败”，让我看系统日志。
我不容易进了系统（登陆后还半天才显示桌面），所有用mmc的程序（系统事件查看器、设备管理器，等）都打不开属性页
设备管理器里边有一个Ytnauexu…的设备，删掉后，故障依旧

上网，无论baidu还是google，都没有“Ytnauexu”
最后放弃，重装系统

 

-------------------------------------------------------------------------------------------------------------

【原文写于 3 September 2006】

 

Ytnauexu病毒成功清除

继上文提到的机器中该病毒后，另一台机也中毒了，但传播途径未知

病毒会启动一个iexplorer进程，并挂钩多个系统消息，估计为木马行为

在设备管理器中删除Ytnauexu设备后，挂钩没有了，但是每次系统启动都一定有一个iexplorer进程，并

且查看iexplorer进程模块，有一个system32/Ytnauexu.d1|
并且，无法找到这个iexplorer的自启动途径

如果删除Ytnauexu.d1|，系统行为异常，如前文中描述
无意中发现rpc服务无法启动，于是查看rpc服务的参数
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/RpcSs
发现：Parameters自键ServiceDll键值就是system32/Ytnauexu.d1|
恢复为System32/rpcss.dll，系统恢复正常

原来病毒也可以通过这样的方式随系统自启动，真是大开眼界