PPLive正在努力成为病毒 pplive网络电视2.4.0

种种就象表明,PPLive正在努力成为病毒,而我不幸昨天中了它的招。

事情的大致情况;

先是突然发现机器运行异常,在玩同城游戏时,出现跳出窗口,当初以为是游戏的弹出窗口,所以没有太在意,但第二次出现后,系统托盘中出现了PPTV及其加速器的图标。回到桌面,发现PPTV与瑞星杀毒图标,进程中发现多个异常进程,并有随机数字命名的进程。

操作系统是使用了保护的,所以重启了一下机器,桌面干净了,以为就此太平。
有一个ACS.exe进程无法关闭,重启后,桌面图标消失,但进程中还有异常:
smss.exeSystemRootSystem32smss.exe
csrss.exeC:WINDOWSsystem32csrss.exe ObjectDirectory=WindowsSharedSection=1024,3072,512

Windows=On SubSystemType=WindowsServerDll=basesrv,1ServerDll=winsrv:UserServerDllInitialization,3

ServerDll=winsrv:ConServerDllInitializa
winlogon.exewinlogon.exe
services.exeC:WINDOWSsystem32services.exe
lsass.exeC:WINDOWSsystem32lsass.exe
DF5Serv.exe"C:Program FilesFaronicsDeep FreezeInstallC-0DF5Serv.exe"
ati2evxx.exeC:WINDOWSsystem32Ati2evxx.exe
svchost.exeC:WINDOWSsystem32svchost -k DcomLaunch
svchost.exeC:WINDOWSsystem32svchost -k rpcss
svchost.exeC:WINDOWSSystem32svchost.exe -k netsvcs
acs.exeC:WINDOWSsystem32acs.exe
svchost.exeC:WINDOWSsystem32svchost.exe -k NetworkService
svchost.exeC:WINDOWSsystem32svchost.exe -k LocalService
ati2evxx.exeAti2evxx.exe -Client
userinit.exeC:WINDOWSsystem32userinit.exe
explorer.exeC:WINDOWSexplorer.exe
wmiprvse.exeC:WINDOWSsystem32wbemwmiprvse.exe
TWCU.exe"C:Program FilesTP-LINKTL-WN310G &TL-WN350GTWCU.exe" -nogui
GooglePinyinDaemon.exe "C:ProgramFilesGoogleGoogle PinyinGooglePinyinDaemon.exe"
ctfmon.exe"C:WINDOWSsystem32ctfmon.exe"
FrzState2k.exe"C:Program FilesFaronicsDeep FreezeInstallC-0_$DfFrzState2k.exe" 1 106917
svchost.exeC:WINDOWSSystem32svchost.exe -k HTTPFilter
wmiprvse.exeC:WINDOWSsystem32wbemwmiprvse.exe
238485 C:DOCUME~1ADMINI~1LOCALS~1Temp238485
165763C:DOCUME~1ADMINI~1LOCALS~1Temp165763
解除保护后,成功删除最后两项,但感觉输入法有问题了,切换时没有反应。
进一步清理C:DOCUME~1ADMINI~1LOCALS~1Temp,强制删除svchost.exe

在C:Documents and SettingsAdministratorLocal SettingsTemporaryInternet Files中发现来自www.163.ln.cn的一系列EXE等内容,其中有一个1128.txt,其内容揭示如下:
----------------------------------
[file]
open=y
url1=http://www.l63.ln.cn/2.exe
url2=http://www.l63.ln.cn/3.exe
url3=http://www.l63.ln.cn/5.exe
url4=http://www.l63.ln.cn/6.exe
url5=http://www.l63.ln.cn/4.exe
url6=http://www.l63.ln.cn/8.exe
url7=http://www.l63.ln.cn/9.exe
url8=http://www.l63.ln.cn/10.exe
url9=http://www.l63.ln.cn/11.exe
url10=http://www.l63.ln.cn/12.exe
url11=http://www.l63.ln.cn/14.exe
url12=http://www.l63.ln.cn/26.exe
url13=http://www.l63.ln.cn/1.exe
url14=http://www.l63.ln.cn/qq.exe
url15=http://www.l63.ln.cn/qb.exe
url16=http://www.l63.ln.cn/cz01.exe
url17=http://www.l63.ln.cn/cz02.exe
count=17
--------------------------------------------------
清理工作做了不少,但怪事件增多了,开机时出现“正在设置360safe”一闪而过。
在程序中发现C:Program FilesYiqilai是一款“一起来音乐”的程序——不会是什么好东西,随手就卸载了(在之后的操作过程中又出现过,可见我的判定是正确的)。
开始重复出现窗口,内容如下:
标题 F:Autorun.inf
内容 F:setup.exe 确定

再看看进程

smss.exeSystemRootSystem32smss.exe
csrss.exeC:WINDOWSsystem32csrss.exeObjectDirectory=Windows...SharedSection=1024,3072,512Windows=OnSubSystemType=Windows..ServerDll=ba...
winlogon.exewinlogon.exe
services.exeC:WINDOWSsystem32services.exe
lsass.exeC:WINDOWSsystem32lsass.exe
DF5Serv.exe"C:Program FilesFaronicsDeep FreezeInstallC-0DF5Serv.exe"
ati2evxx.exeC:WINDOWSsystem32Ati2evxx.exe
svchost.exeC:WINDOWSsystem32svchost -k DcomLaunch
svchost.exeC:WINDOWSsystem32svchost -k rpcss
svchost.exeC:WINDOWSSystem32svchost.exe -k netsvcs
acs.exeC:WINDOWSsystem32acs.exe
svchost.exeC:WINDOWSsystem32svchost.exe -k NetworkService
svchost.exeC:WINDOWSsystem32svchost.exe -k LocalService
ati2evxx.exeAti2evxx.exe -Client
userinit.exeC:WINDOWSsystem32userinit.exe
explorer.exeC:WINDOWSexplorer.exe
svchost.exe"C:Program FilesMicrosoft Officesvchost.exe"
TWCU.exe"C:Program FilesTP-LINKTL-WN310G &TL-WN350GTWCU.exe" -nogui
GooglePinyinDaemon.exe "C:ProgramFilesGoogleGoogle PinyinGooglePinyinDaemon.exe"
ctfmon.exe"C:WINDOWSsystem32ctfmon.exe"
svchost.exeC:DOCUME~1ADMINI~1LOCALS~1Temp41484.exe
wscntfy.exeC:DOCUME~1ADMINI~1LOCALS~1Temp41484.exe
FrzState2k.exe"C:Program FilesFaronicsDeep FreezeInstallC-0_$DfFrzState2k.exe" 1 106917
svchost.exeC:WINDOWSSystem32svchost.exe -k HTTPFilter
svchost.exeC:WINDOWSsystem32svchost.exe -k imgsvc
185372C:DOCUME~1ADMINI~1LOCALS~1Temp185372
sbdrv.exeC:WINDOWSsystem32sbdrv.exe
winds.exeC:WINDOWSsystem32winds.exe
267579C:DOCUME~1ADMINI~1LOCALS~1Temp267579
jackv.exeC:WINDOWSsystem32jackv.exe
killv.exeC:WINDOWSsystem32killv.exe
coiks.exeC:WINDOWSsystem32coiks.exe
svchost.exeC:WINDOWSsystem32svchost.exe
smrsc.exeC:WINDOWSsystem32smrsc.exe
360sc.exeC:WINDOWSsystem32360sc.exe
wscntfy.exec:windowssystemmsdos.pif
PlayFlash.datC:DOCUME~1ADMINI~1LOCALS~1TempPlayFlash.dat
taskmgr.exeC:WINDOWSsystem32taskmgr.exe
laotan.datC:DOCUME~1ADMINI~1LOCALS~1Templaotan.dat
Loader.datC:DOCUME~1ADMINI~1LOCALS~1TempLoader.dat
cmd.exe"C:WINDOWSsystem32cmd.exe"
wmiprvse.exeC:WINDOWSsystem32wbemwmiprvse.exe
对于上述内容中出现的新内容采取强制删除方式,下述内容消灭了:
C:WINDOWSsystem32Ati2evxx.exe
C:WINDOWSsystem32acs.exe
C:DOCUME~1ADMINI~1LOCALS~1Temp41484.exe
C:DOCUME~1ADMINI~1LOCALS~1Temp185372
C:WINDOWSsystem32jackv.exe
C:WINDOWSsystem32killv.exe
C:WINDOWSsystem32coiks.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32360sc.exe
C:WINDOWSsystem32smrsc.exe
c:windowssystemmsdos.pif
C:DOCUME~1ADMINI~1LOCALS~1Templaotan.dat
C:DOCUME~1ADMINI~1LOCALS~1TempLoader.dat
------------------------------------------------------

重启后,发现一个可疑文档:
Temp ote.txt
c:Program FilesCommonFilesPPLiveNetworkPPAP.exe

再次出现大量PPAP.exe
强制删除进程未果,进程逐步增多。进程中另外有一个可疑内容:
sbdrv.exe C:WINDOWSsystem32sbdrv.exe
由于在删除后它又会出现,所以运用另外手段来对付。

这一次,进程PPAP.exe可以删除,并不再出现,但该程序还是存在。

事情还没有完。

开机时总出现360Safe字样,关闭了一些服务后也是一样。
关闭服务中的qqqqqq,rrrrrr,tttttt,yyyyyy,wwwwww未知服务。

有大量的PPAP .exe进程出现,最多时达到上百,CPU占用率100%,为避免死机,强制关机。

加载光驱,进入PE系统中。

删除整个C:Program FilesPPLive 的目录

2010-02-0920:33<DIR>.
2010-02-0920:33<DIR>..
2010-02-0920:38<DIR>PPTV
2010-02-0920:39<DIR>PPVA
0个文件0 字节
4 个目录 6,997,561,344 可用字节

删除C:WINDOWSsystem 目录中如下内容
2010-02-0920:1334,360 dPQuM.DRV
2010-02-0919:3337,920 giuws.DRV
2010-02-0920:1439,796 HKXsN.DRV
2010-02-0919:3439,796 iErWI.DRV
2010-02-0920:1337,920 jkHBo.DRV
2010-02-0919:3332,824 mbMXg.DRV
2010-02-0919:3434,360 NirfS.DRV
2010-02-0920:1437,188 pbrRq.DRV
2010-02-0920:1232,824 pnCLl.DRV
2010-02-0919:3434,140 PsJpt.DRV
2010-02-0919:3430,776 rQyel.DRV
2010-02-0920:1333,092 TvDLr.DRV
2010-02-0920:1334,140 uIRFh.DRV
2010-02-0920:1330,776 uJMvH.DRV
2010-02-0919:3433,092 YTdWq.DRV

删除C:WINDOWSsystem32目录中

2010-02-0920:4169,632 eqyy.exe

2010-02-0920:13371,200 dsound.dll
2010-02-0920:13371,200 dsound.dllEDBGu
2010-02-0919:34371,200 dsound.dllFRUVC
2010-02-0919:34371,200 dsound.dllgdXYW
2004-08-1720:00367,616 dsound.dllmbMXg
2010-02-0920:13371,200 dsound.dllMDoOM
2010-02-0920:13371,200 dsound.dllnriiv
2010-02-0919:34371,200 dsound.dllpnCLl
2010-02-0919:34371,200 dsound.dllsrXDt
2010-02-0920:13371,200 dsound.dllTvDLr
2010-02-0919:34371,200 dsound.dllYTdWq
2010-02-0919:3352,736 t311019.dll
2010-02-0920:122,348 t311019.ini
2010-02-0920:1186,016 t320067.dll
2010-02-0920:122,616 t320067.ini
2010-02-0920:1270,144 t322044.dll
2010-02-0920:122,616 t322044.ini
2010-02-0920:1281,920 t329143.dll
2010-02-0920:122,616 t329143.ini

重启后发现有PPAP.exe进程,目标指向C:Program FilesCommonFilesPPLiveNetworkPPAP.exe,换了一个位置重新出现,另外有wind.exe,Msefewb2.exe(隐藏),eqyy.exe,已经强制删除
PPLive正在努力成为病毒 pplive网络电视2.4.0
目前的情况是:

Win快捷方式无效,IE被劫持,主页无法更改到自定义主页,右击IE时,菜单中出现“我的主页”,在Internet选项中更改主页也无效,始终指向9348或者shangla
系统启动非常缓慢,PPAP.exe进程不再出现。

IE开始出现异常,有出错窗口,提示应用程序有误,Unknow saftware exception...

============================================================================================

综合一下上述情况:

1.在多个位置安装了PPLive

2.启用大量PPAP.exe进程,手工禁止根本跟不上进程产生的进度

3.变换着内容,在系统目录中安装程序

4.Taskkill无法使用,导致处理进程困难

5.Win+X形式的快捷方式失效

6.IE被劫持,无法在Internet选项中修改主页

7.开机变得缓慢,出现正在设置360safe——本机没有这程序

8.有不明的服务,如qqqqqq等

9.自始至终,机器异常都与PPAP.exe有关,另外有PPTV.exe,PPLiveVA.exe等相关内容

加载程序,在未得到机主同意或未的情况下发生,那无疑是下三滥的,PPLive看来是学了3721的本领,并有超越,大家有必要对此保持警惕了。

  

爱华网本文地址 » http://www.413yy.cn/a/25101016/295718.html

更多阅读

最好用的网络电视软件 电脑上的电视直播软件

最好用的网络电视软件——简介用了许久的网络电视软件,流星网络电视(钻石版),可以免费收看央视及各地方台频道及部分港澳台节目,已破解VIP权限,可以收看全部VIP节目。最新版为2.86.最好用的网络电视软件_最快的网络电视最好用的网络电视

高清网络电视机顶盒哪个好 网络电视接收机顶盒

高清网络电视机顶盒哪个好——简介网络电视机顶盒也叫做硬盘播放器,现在越来越多的人追求生活的高品质,硬盘播放器能够很好的满足试听的需要,那么对于硬盘播放器你知道多少?下面我来给大家介绍一些关于网络电视机顶盒的选购注意点:高清

高清网络电视机顶盒排名 网络机顶盒什么牌子好

数字电视机顶盒是现在常用的一种新型家用电器,能将电视信号进行转化为模拟信号,改善电视节目质量,扩展电视功能,给用户高清智能的视觉享受。在目前网络机顶盒的环境中,小编综合了各方面数据分析统计,得出了目前网络机顶盒的前5名排名情况

网络电视盒子怎么用 网络机顶盒什么牌子好

网络电视盒子怎么用——简介 网络电视盒子又称网络播放器,是链接电视的一种外部设备,链接互联网,可以观看电视直播,电影。购买之后,该如何使用网络播放器呢?网络电视盒子怎么用——工具/原料网络电视盒子,网络,电视机。网络电视盒子怎么用

网络电视机顶盒安装方法 网络机顶盒排行榜

网络电视机顶盒安装方法——简介 很多朋友想要购买网络电视机顶盒,但是以前没有使用过,怕自己安装不明白。其实网络电视机顶盒的安装方法和普通的DVD安装方法没有什么太大区别,就是多了一条网线。今天就把安装网络电视机顶盒的完全步骤

声明:《PPLive正在努力成为病毒 pplive网络电视2.4.0》为网友佯装执着分享!如侵犯到您的合法权益请联系我们删除