木马 mycpri.dll 解决方案

病毒名称：N/A（Kaspersky）
　　病毒别名：Trojan.PSW.Win32.RocOnline.bd [exe]（瑞星）, Trojan.PSW.Win32.RocOnline.bb [dll]（瑞星）
　　　　　 Win32.Troj.XiyouT.vn.87552 [exe]（毒霸）, Win32.Troj.OnlineGames.my.17455 [dll]（毒霸）
　　病毒大小：11,509 字节
　　加壳方式：UPack
　　样本MD5：c19432ae207e94812d0af0a6e9fb648e
　　样本SHA1：5058006300486776daf152201c455a3bf7ccc4f9
　　发现时间：2007.7
　　更新时间：2007.7.28
　　关联病毒：
　　传播方式：通过恶意网页传播、其它木马下载

　　技术分析
　　==========

　　木马运行后释放dll到系统目录：
　　%System%\mycpri.dll

　　创建ShellExecuteHooks启动项：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{3562452F-FA36-BA4F-892A-FF5FBBAC5313}"="mycpri.dll"

[HKEY_CLASSES_ROOT\CLSID\{3562452F-FA36-BA4F-892A-FF5FBBAC5313}\InprocServer32]
@="%System%\mycpri.dll"
　　使用批处理C:\DeleteFileDos.bat删除原文件：

 @echo off
:Loop
attrib "{原文件}" -r -a -s -h
del "{原文件}"
if exist "{原文件}" goto Loop
del %0

　　当dhapri.dll被调用时，修改AppInit_DLLs值数据：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="mycpri.dll"
　　并修改注册表禁用自动更新：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000001
"AUOptions"=dword:00000001
　　关闭Windows防火墙：

　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall"=dword:00000000
　　木马会不断重写以上相关注册表信息。

　　清除步骤
　　==========

　　1. 重命名木马文件：
　　%System%\mycpri.dll

　　2. 重新启动计算机

　　3. 删除重命名过的木马文件和相关文件(如遇提示无法删除文件，到www.pc51.net下载费尔木马强制删除器工具进行强制删除)：
　　%System%\mycpri.dll
　　%System%\mycini.dll
　　%System%\myctmp.dll（可能存在）

　　4. 删除ShellExecuteHooks启动项(开始菜单－运行－输入“regedit”依次找到并按说明操作)：

 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{3562452F-FA36-BA4F-892A-FF5FBBAC5313}"="mycpri.dll"
[HKEY_CLASSES_ROOT\CLSID\{3562452F-FA36-BA4F-892A-FF5FBBAC5313}]
 

　　5. 编辑AppInit_DLLs值数据为空，删除“mycpri.dll”：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
　　6. 删除木马修改的注册表信息：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000001
"AUOptions"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall"=dword:00000000
　　（或根据自己需要进行设置）