抓到一只灰鸽子和一匹木马/广告程序

endurer　原创
2006-10-05 第1版

有一位网友的电脑，最近电脑开机时瑞星会报告发现顽固的灰鸽子 Backdoor.Gpigeon.uql

到 http://endurer.ys168.com 下载 HijackThis 扫描log，发现可疑项：

/-----------
O23 - NT 服务: Remote Packet Capture Protocol v.0 (experimental) (rpcapd)-Unknown owner - %ProgramFiles%/WinPcap/rpcapd.exe" -d -f "%ProgramFiles%/WinPcap/rpcapd.ini (file missing)

O23 - NT 服务: systemPigeo (system) - Unknown owner - C:/WINDOWS/win32.exe
-----------/

（以下修复工作中有关操作方法可参考：【系统修复系列之】基本操作索引
http://endurer.blogchina.com/2591241.html）

重新启动到安全模式

开始--》设置--》控制面板--》管理工具--》服务，停止并禁用服务：
/-----------
systemPigeo (system)
Remote Packet Capture Protocol v.0 (experimental) (rpcapd)
-----------/

用WinRAR找到文件：
/-----------
C:/WINDOWS/win32.exe（采用 BJFNT 1.1b -> :MARQUiS: 加壳。）
C:/WINDOWS/system32/drivers/inf/soconfig.exe（Kaspersky 报为 not-a-virus:AdWare.Win32.BHO.ac，DrWeb 报为 Trojan.DownLoader.6847）
C:/WINDOWS/system32/drivers/inf/socfg.dll（其实是一个文本文件，存放弹出窗口的信息）
-----------/

压缩打包备份后删除。

关闭所有浏览器窗口和文件夹窗口，重新使用HijackThis扫描在上面所列可疑项目前打上勾，然后点[修复](Fix)。

清空IE临时文件夹