遭遇krnln.fnr,com.run,shell.fne,dp1.fne,eAPI.fne,internet.fne,RegEx.fnr,spec.fne等

　　一位网友说他的电脑可能中病毒了，症状为把U盘中的文件夹改名后再双击，就提示找不到文件夹。

　　通过ＱＱ远程协助，先检查U盘，发现了文件夹变EXE文件的病毒。删除EXE文件病毒，再去除被病毒隐藏的文件夹的隐藏和系统属性。

　　再用pe_xscan扫描电脑，生成系统日志并分析，发现如下可疑项：

pe_xscan 10-07-04 by Purple Endurer
2010-9-25 20:54:33
Windows XP Service Pack 3(5.1.2600)
MSIE:6.0.2900.5512
管理员用户组
正常模式
C:/WINDOWS/explorer.exe * 1596              |       2008-4-14 20:0:0
   C:/Program Files/FreeLaunchBar/flb.dll      |      2010-7-22 10:14:49|Free Launch Bar|1.0.0.0|Free Launch Bar|版权所有(C)2001-2004 TrueSoft|1.0.0.0|TrueSoft|Free Launch Bar|FreeLaunchBar|flb.dll
C:/WINDOWS/system32/spoolsv.exe*1656 |       2010-8-17 21:17:6
C:/WINDOWS/system32/EC4698/0246EF.EXE * 1844   |       2010-8-16 9:17:9
   C:/WINDOWS/system32/EC4698/krnln.fnr       |       2010-8-3 14:58:26
   C:/WINDOWS/system32/EC4698/com.run |       2010-8-3 14:58:26|com Dynamic Link Library|1, 0, 0, 1|com DLL|版权所有 (C) 2004|1, 0, 0, 1| | |com|com.DLL
   C:/WINDOWS/system32/EC4698/shell.fne       |       2010-8-16 9:17:9
   C:/WINDOWS/system32/EC4698/dp1.fne        |       2010-8-3 14:58:26
   C:/WINDOWS/system32/EC4698/eAPI.fne       |       2010-8-16 9:17:9
   C:/WINDOWS/system32/EC4698/internet.fne    |       2010-8-3 14:58:26|internet Dynamic Link Library|1, 0, 0, 1|internet DLL|版权所有 (C) 2002|1, 0, 0, 1| | |internet|internet.DLL
   C:/WINDOWS/system32/EC4698/RegEx.fnr       |       2010-8-3 14:58:26
   C:/WINDOWS/system32/EC4698/spec.fne|       2010-8-3 14:58:26
C:/WINDOWS/system32/EC4698/PV718346.EXE*3988 |       2010-9-25 8:18:52
   C:/WINDOWS/system32/EC4698/krnln.fnr       |       2010-8-3 14:58:26
   C:/WINDOWS/system32/EC4698/eAPI.fne|       2010-8-16 9:17:9
   C:/WINDOWS/system32/EC4698/dp1.fne |       2010-8-3 14:58:26
C:/WINDOWS/system32/EC4698/W65C5EF7.EXE*1948 |       2010-9-25 8:18:53
   C:/WINDOWS/system32/EC4698/krnln.fnr       |       2010-8-3 14:58:26
   C:/WINDOWS/system32/EC4698/eAPI.fne|       2010-8-16 9:17:9
   C:/WINDOWS/system32/EC4698/dp1.fne |       2010-8-3 14:58:26
 
O2 - IeAddOn(JsObject Class) - {11CC93E4-0BE6-4f8f-82AA-D577FB955B05}
  =C:/Program Files/Baidu/AddressBar/AddressBar.dll
O4 - HKLM/../run: [0246EF]C:/WINDOWS/system32/EC4698/0246EF.EXE
O4 - Startup:0246EF.lnk->C:/WINDOWS/system32/EC4698/0246EF.EXE
 
HKLM/SHOWALL    值非1

　　到 http://purpleendurer.ys168.com 下载了FileInfo 和bat_do。 用bat_do 把病毒文件打包，用FileInfo 提取病毒文件信息。

　　网友电脑中只装有QQ软件管家，没有杀毒软件，于是想到瑞星网站下载安装，不料瑞星网站首页总是无法显示，估计是被病毒屏蔽了，后面清除病毒后就能正常打开了。

　　再试试金山毒霸网站，可以正常打开，发现上面有个完全免费的“金山毒霸技术预览版”，才10.4 MB，试试看。

　　居然具有一些系统修复功能，可惜有修复效果不尽如人意，比如：

　　O4 - Startup: 0246EF.lnk -> C:/WINDOWS/system32/EC4698/0246EF.EXE

　　在查杀完成并重启电脑后还在，只好手动清除。

　　另外就是误报，把我的FileInfo也当成恶意程序了，IceSword也未能幸免。

附部分恶意文件信息：

文件说明符 : C:/WINDOWS/system32/EC4698/0246EF.EXE
属性 : -SH-
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-8-16 9:17:9
修改时间 : 2010-8-16 9:17:9
大小 : 114176 字节 111.512 KB
MD5 : fec7a8d7fd20f96995cc3d571d2448ec
SHA1: DA92FD20B44F084358F2FE00B2D0DDC531792FF7
CRC32: 70003d06