WNSO.exe，論壇上曾經(jīng)有人求助，但苦于求助者沒(méi)能提供樣本，更多細(xì)節(jié)一直無(wú)法知曉，今天突然收到了一位朋友發(fā)來(lái)的樣本，非常感謝。
RGGZS目錄中有兩個(gè)程序的版本信息里寫(xiě)著“
軟告工作室”，知道了RGGZS原來(lái)就是它的拼音縮寫(xiě)，好，有安裝程序，趕緊安裝一下這個(gè)流氓，看看它是怎么耍的。
安裝后釋放了很多東西，隨機(jī)的文件名目錄名，還會(huì)訪問(wèn)網(wǎng)絡(luò)下載信息，看部分文件像是
DM(DesktopMedia)的變種。
下面了整理一下文件列表：
引用
%Windows%\91df2fa.exe (同91di2fa.exe)
%System%\91di2fa.exe (同91df2fa.exe)
%System%\bd706c2e\06nc2.dll (同a.dll)
%System%\bd706c2e\06dc2.exe (同b.exe)
%System%\bd706c2e\06lc2.dll (同c.dll)
%System%\bd706c2e\06rc2.dll (同d.dll)
%System%\drivers\front.sys
%System%\drivers\roreg.sys
%temp%\front.sys
%temp%\roreg.sys
%temp%\find.dll
%temp%\main.dll
%ProgramFiles%\Common Files\RGGZS\SoBar.dll
%ProgramFiles%\Common Files\RGGZS\readme.mht
%ProgramFiles%\Common Files\RGGZS\WSOREM.dll
%ProgramFiles%\Common Files\RGGZS\wsomain.exe
%ProgramFiles%\Common Files\RGGZS\citing.dll
%ProgramFiles%\Common Files\RGGZS\WNSO.exe
%ProgramFiles%\Common Files\RGGZS\res\button1.BMP
%ProgramFiles%\Common Files\RGGZS\res\button2.BMP
%AllUsers%\「開(kāi)始」菜單\程序\啟動(dòng)\WNSO.lnk (指向%ProgramFiles%\Common Files\RGGZS\WNSO.exe)
%AllUsers%\Application Data\startup\Cast\bfyswj.inf
%AllUsers%\Application Data\startup\Cast\yxssj_4000.inf
%AllUsers%\Application Data\startup\Cast\bfrw_4000.inf
%AllUsers%\Application Data\startup\Cast\dxgdgjc.inf
%AllUsers%\Application Data\startup\Cast\GGS\hmd.idx
%USERPROFILE%\Templates\2880d02\a.dll
%USERPROFILE%\Templates\2880d02\b.exe
%USERPROFILE%\Templates\2880d02\c.dll
%USERPROFILE%\Templates\2880d02\d.dll
注冊(cè)表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"wk"="%Windows%\91df2fa.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"wk"="%System%\91di2fa.exe"
[HKEY_CLASSES_ROOT\CLSID\{197A85BC-BD97-4404-A702-95E556E4DAEB}\InprocServer32]
@="%ProgramFiles%\Common Files\RGGZS\SoBar.dll"
[HKEY_CLASSES_ROOT\SoBar.SBar]
[HKEY_CLASSES_ROOT\SoBar.SBar.1]
[HKEY_CLASSES_ROOT\Interface\{70D9715B-EFFA-4B20-9647-A4351DCFD894}]
[HKEY_CLASSES_ROOT\TypeLib\{97A1F0A2-14B4-4A80-BA2B-18FD571E8AC4}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{197A85BC-BD97-4404-A702-95E556E4DAEB}]
[HKEY_LOCAL_MACHINE\SOFTWARE\sepcompu]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\front]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\roreg]
進(jìn)程：
調(diào)用了a.dll/c.dll/d.dll的rundll32.exe處理的時(shí)候先結(jié)束掉這個(gè)礙眼的rundll32.exe進(jìn)程，然后嘗試看看哪些文件和目錄可以刪除，這時(shí)有如下文件和目錄可以刪除：
引用
文件：
%Windows%\91df2fa.exe
%System%\91di2fa.exe
%temp%\front.sys
%temp%\roreg.sys
%temp%\find.dll
%temp%\main.dll
目錄：
%System%\bd706c2e\
%AllUsers%\Application Data\startup\
%USERPROFILE%\Templates\2880d02\
注冊(cè)表方面這些可以刪除：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"wk"="%Windows%\91df2fa.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"wk"="%System%\91di2fa.exe"
[HKEY_CLASSES_ROOT\CLSID\{197A85BC-BD97-4404-A702-95E556E4DAEB}\InprocServer32]
@="%ProgramFiles%\Common Files\RGGZS\SoBar.dll"
[HKEY_CLASSES_ROOT\SoBar.SBar]
[HKEY_CLASSES_ROOT\SoBar.SBar.1]
[HKEY_CLASSES_ROOT\Interface\{70D9715B-EFFA-4B20-9647-A4351DCFD894}]
[HKEY_CLASSES_ROOT\TypeLib\{97A1F0A2-14B4-4A80-BA2B-18FD571E8AC4}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{197A85BC-BD97-4404-A702-95E556E4DAEB}]
驅(qū)動(dòng)：
%System%\drivers\front.sys
%System%\drivers\roreg.sys保護(hù)了：
%ProgramFiles%\Common Files\RGGZS\
%AllUsers%\「開(kāi)始」菜單\程序\啟動(dòng)\WNSO.lnk
[HKEY_LOCAL_MACHINE\SOFTWARE\sepcompu]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\front]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\roreg]不過(guò)還好，用IceSword還可以刪除驅(qū)動(dòng)的服務(wù)項(xiàng)：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\front]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\roreg]
刪除它們，重啟后就可以把剩下的文件/目錄和注冊(cè)表內(nèi)容刪除了：
%System%\drivers\front.sys
%System%\drivers\roreg.sys
%ProgramFiles%\Common Files\RGGZS\
%AllUsers%\「開(kāi)始」菜單\程序\啟動(dòng)\WNSO.lnk
[HKEY_LOCAL_MACHINE\SOFTWARE\sepcompu] 
