盗号木马avp.exe解决办法

　　运行该样本后，该样本借助看图软件（本机为acdsee）打开，为一美女图片

　　释放文件：

　　%system%\hs4viewer.dll

　　%windir%\avp.exe

　　还有其他一些完成使命后自我删除的文件

　　%system%\delplme.bat

　　%documents and settings%\计算机名\local settings\temp\rarsfx0\1.jpg

　　%documents and settings%\计算机名\local settings\temp\rarsfx0\server.exe

　　.....

　　添加系统服务

　　[hkey_local_machine\system\controlset003\services\vgadown]

　　[hkey_local_machine\system\controlset003\enum\root\legacy_vgadown]

　　指向 %windir%\avp.exe

　　加载驱动（系统正常文件，处理时别动它）

　　[hkey_local_machine\system\controlset003\services\ws2ifsl]

　　%system%\drivers\ws2ifsl.sys

　　作恶特点：

　　1、avp.exe冒充卡巴斯基的正常进程

　　2、修改spi,添加hs4viewer.dll，这个难以说清楚，跟以前的流氓软件roogoo差不多，看hijackthis和sreng日志体现吧

　　winsock 提供者

　　msafd tcpip [tcp/ip]

　　c:\windows\system32\hs4viewer.dll(n/a, n/a)

　　o10 - unknown file in winsock lsp: %system%\hs4viewer.dll

　　解决过程：

　　1、清除掉病毒avp.exe

　　如果装有卡巴斯基，可以使用procexp来判断哪个avp.exe是病毒进程，终止该进程后，删除avp.exe以及其添加的注册表信息，如

　　[hkey_local_machine\system\controlset003\services\vgadown]

　　[hkey_local_machine\system\controlset003\enum\root\legacy_vgadown]

　　%windir%\avp.exe

　　要是不嫌麻烦，可以先删除其创建的注册表服务信息，然后重启，再删除avp.exe

　　2、使用lspfix.exe或其他工具来解决掉hs4viewer.dll

　　这个尤其要注意，不要蛮干，别搞的上不了网，个人习惯使用lspfix.exe，使用介绍以及其他相关事项在这里

　　lspfix处理完毕后，再手工删除%system%\hs4viewer.dll