[求助]：毒 C:\WINDOWS\SYSTEM32\APPMGMT\MSSER.EXE

作坊

C:\WINDOWS\SYSTEM32\APPMGMT\MSSER.EXE  这是什么删也删不掉

我杀毒用的是KV

alim

曾经遭遇过，造成CPU100%占用的家伙，当时不经意的干掉了（不知道有没有消灭干净）。到网上搜了一下，好象ebuy易趣是罪魁祸首，而主要由珊瑚虫QQ为虎作伥助纣为虐。

关于msser.exe文件的说明- -

                                      

     

1. 这两天小陌在国内各大反病毒论坛浏览时，不约而同地看到了许多网友在发贴询问msser.exe文件是否为病毒，因为包括AVP在内的一些杀毒软件都将这个文件命名为Trojan-Downloader，小陌在对该文件进行分析后，认为不属木马。从网友反馈的情况来看，这个文件是来自“珊瑚虫3.1.2集成版qq”软件中自带的一个ebay易趣的插件，而且在珊瑚虫论坛也看到了相关说明。所以，在此提醒广大网友不要过于紧张。
   
2. 
   
3.       当你在安装“珊瑚虫3.1.2集成版qq”时，选择安装ebay插件后，则会在系统中生成%System%\appmgmt\msser.exe、% System%\cba\task.exe、%System%\inetsrv\inet.exe、%System%\dllcache\ mstunint.dll、%System%\dllcache\mstunmsr.dll、%System%\dllcache\ mstuntsk.dll，并在注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
4. "MSSER"="%System%\appmgmt\msser.exe"
   
5. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
   
6. "IIS"="%System%\inetsrv\inet.exe"生成以上键值。
   
7. 
   
8.        如果广大网友不想安装此插件，那么在安装时可以不要选择安装。
   
9. 
   
10. - 作者： smallmo 2005年04月26日, 星期二 18:19

复制代码

1. 
   
2. oh-no         
   
3. 发表于：2005-04-26 17:32        
   
4. 发帖： 36
   
5. 积分： 0
   
6. 注册： 2005-04-08
   
7.         我也中了，估计是装了珊瑚版的QQ，CPU占用率都是100%的，每次启动都要手动结束该进程，这是我在网上找到的，我也不知道有没用。我没试过。。，你试了之后跟我说。。嘻。。。。
   
8. 1、找到其在dllcache库中的关联文件，共有8个,
   
9. 分别是a3d.dll
   
10. drmk.sys ks.sys ksproxy.ax ksuser.dll mstunint.dll mstunmsr.dll mstuntsk.dll portcls.sys portcls.sys
    
11. 并删除,(dllcache库位于system32目录下，正常情况下是隐藏的,需要打开文件夹选项--查看--去掉隐藏受保护文件的前的对号，打开显示所有文件)
    
12. 2、删除system32\cba\task.exe
    
13. system32\appmgmt\msser.exe
    
14. C:\windows\temp\Install\setup.exe
    
15. system32\icon目录
    
16. system32\inetsrv\inet.exe
    
17. 3、最后从注册表中删除msser.exe其相关启动项.
    
18. 再次启动后这些东东就都没有了，另外最好大家都安装防火墙，这样有什么可疑程序想连接网络的时候一目了然.
    
19. 
    
20. oh-no 编辑于 2005-04-26 17:34
    
21. ---
    
22. 我喜欢吃番茄炒蛋，我会褒冬菇鸡汤。
    

复制代码

1. 
   
2.           o  ◎ 这个问题是“珊瑚虫QQ”里带的“ebay易趣购物工具”带来的…… 红贝壳 (64478)于2005/05/01(16:34:29)..
   
3. 
   
4.             相关文件：
   
5.             C:\windows\temp\Install\setup.exe
   
6.             %System%\appmgmt\msser.exe
   
7.             %System%\cba\task.exe
   
8.             %System%\inetsrv\inet.exe
   
9.             %System%\dllcache\mstunint.dll
   
10.             %System%\dllcache\mstunmsr.dll
    
11.             %System%\dllcache\mstuntsk.dll
    
12. 
    
13.             经过比较发现，其中：
    
14.             %System%\appmgmt\msser.exe和%System%\dllcache\mstunmsr.dll一样；
    
15.             %System%\cba\task.exe和%System%\dllcache\mstuntsk.dll一样；
    
16.             %System%\inetsrv\inet.exe和%System%\dllcache\mstunint.dll一样。
    
17.             （从文件名也可以看出它们之间有关联）
    
18. 
    
19. 
    
20.             如果安装“珊瑚虫QQ”时安装了“ebay易趣购物工具”，那么那些东西就会被安装到系统里，大家
    
21. 
    
22.             遇到的这个问题也就出现了……
    
23. 
    
24.             C:\windows\temp\Install\setup.exe，运行后释放其它几个文件，并建立启动项：
    
25.             [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    
26.             "MSSER"="%System%\appmgmt\msser.exe"
    
27.             [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
    
28.             "IIS"="%System%\inetsrv\inet.exe"
    
29. 
    
30.             %System%\appmgmt\msser.exe如果运行也会把%System%\cba\task.exe运行起来；
    
31.             %System%\inetsrv\inet.exe运行后则会创建%System%\appmgmt\msser.exe的启动项。
    
32. 
    
33.             通过观察，它们会从网络上读取信息并下载文件，可能是用做程序更新的吧。
    
34.             从临时文件中发现download.htm和download.ini，其中有类似“select * from download where
    
35. 
    
36.             datetime='日期'”的读取数据库语句。
    
37. 
    
38.             说一下如何除掉它们：
    
39.             如果它们的进程不在进程里，那么就可以直接找到这些文件删除掉：
    
40.             C:\windows\temp\Install\setup.exe
    
41.             %System%\appmgmt\msser.exe
    
42.             %System%\cba\task.exe
    
43.             %System%\inetsrv\inet.exe
    
44.             %System%\dllcache\mstunint.dll
    
45.             %System%\dllcache\mstunmsr.dll
    
46.             %System%\dllcache\mstuntsk.dll
    
47. 
    
48.             到注册表编辑器里删除以下两个启动项：
    
49.             [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    
50.             "MSSER"="%System%\appmgmt\msser.exe"
    
51. 
    
52.             [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
    
53.             "IIS"="%System%\inetsrv\inet.exe"
    
54. 
    
55.             这个位置是它们建立的，也可删除：
    
56.             [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tunl]
    
57. 
    

复制代码

alim

[iframe h=600 w=100%]http://bbs.db.kingsoft.com/viewthread.php?tid=538959&sid=z1N2B9[/iframe]

作坊

谢谢了大家 解决问题了