前几天分析了C:\WINDOWS\wincup\wincup.exe ...这俩天又跑出个同名的文件夹..路径为C:\WINDOWS\Temp\wincup\wincup.exe和C:\WINDOWS\Temp\aukld\aukld.exe 前俩天卡巴就报了..瑞星好象昨天才报..病毒名:Trojan.DL.adload.io和Trojan.DL.adload.ip ...这俩天关于此求助的人也多了..今天拿到样本就分析..运行wincup.exe ..释放文件aUCup和extern.ini .. 还有~de5.tmp (文件名中的数字会不同)..创建服务O23 - NT 服务: aucup - Unknown owner - C:\WINDOWS\Temp\wincup\wincup.exe ... 访问网络..运行aukld.exe ..释放文件inskld和~de5.tmp(文件中的数字会不同) ...创建服务O23 - NT 服务: aukld - Unknown owner - C:\WINDOWS\Temp\aukld\aukld.exe ..访问网络..访问网络后..下载WinKalendar ...HijackThis的021项会体现出来..O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} - C:\PROGRA~1\WinKld\WinKld.dll ...此项可能出现也有可能不出现...【解决】结束进程C:\WINDOWS\wincup\wincup.exe(可能会有我这一俩次测试都出现这项..)开始-控制面板-添加与删除程序卸载WinKalendar,winwrcup,vision communicate ....(有的会没有..)开始-控制面板-管理工具-服务禁用掉 aucup , aukld , WinWrCup ，JMediaService 这四个服务..(有的会没有..)开始-运行-regedit注册表展开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\删除aucup , aukld , JMediaService , WinWrCup 这四个文件夹...(这三处地方仔细检查..有的有..有的没有..)展开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\删除LEGACY_AUKLD , LEGACY_AUCUP , LEGACY_JMEDIASERVICE , LEGACY_WINWRCUP这四个文件夹...(同上..仔细找找..必须使用IcesWord来删除..)展开HKEY_CLASSES_ROOT\CLSID\删除{724C75F1-B757-408D-A50A-4CF99DA35D73} 这文件夹...(有可能没有这项..)重启后删除..C:\WINDOWS\Temp\wincupC:\WINDOWS\Temp\aukldC:\PROGRA~1\WinKldC:\WINDOWS\Temp\inskld(文件夹内是同时释放的一个.exe文件)C:\WINDOWS\Temp\inscup(文件夹内是同时释放的一个.exe文件)C:\WINDOWS\wincup------------------------------------------------------------------------删除注册表的时候还是得借助 Icesword 来删除..下载地址:http://forum.ikaka.com/topic.ASP?board=28&artid=6979213(二楼)------------------------------------------------------------------------这俩文件访问网络时..如果防火墙阻止了不会生成C:\PROGRA~1\WinKld ..------------------------------------------------------------------------这俩个文件与C:\WINDOWS\wincup\wincup.exe 有关系..还有彩信助手...建议在处理完后用超级兔子清理王安全模式卸载一下...超级兔子下载地址:http://www.pctutu.com/srmsdown.aspC:\WINDOWS\wincup\wincup.exe 详细参考:http://forum.ikaka.com/topic.asp?board=28&artid=8120559-------------------------------------------------------------------------在此感谢 阳光(newcenturymoon) 的补充..再做个补充:C:\PROGRA~1\WinKld 是微软的日历..如果有需要的朋友不必卸载...
[1] [2]
（出处：http://www.sheup.com）
[1] [2]