如何学会欣赏:qq珊瑚虫有木马吗？

木马没有！后门有

C:\WINDOWS\SYSTEM32\APPMGMT\MSSER.EXE 木马克星发现的?
◎ 这个问题是“珊瑚虫QQ”里带的“ebay易趣购物工具”带来的…… (920字)
相关文件：
C:\windows\temp\Install\setup.exe
%System%\appmgmt\msser.exe
%System%\cba\task.exe
%System%\inetsrv\inet.exe
%System%\dllcache\mstunint.dll
%System%\dllcache\mstunmsr.dll
%System%\dllcache\mstuntsk.dll

经过比较发现，其中：
%System%\appmgmt\msser.exe和%System%\dllcache\mstunmsr.dll一样；
%System%\cba\task.exe和%System%\dllcache\mstuntsk.dll一样；
%System%\inetsrv\inet.exe和%System%\dllcache\mstunint.dll一样。
（从文件名也可以看出它们之间有关联）

如果安装“珊瑚虫QQ”时安装了“ebay易趣购物工具”，那么那些东西就会被安装到系统里，大家

遇到的这个问题也就出现了……

C:\windows\temp\Install\setup.exe，运行后释放其它几个文件，并建立启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSSER"="%System%\appmgmt\msser.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"IIS"="%System%\inetsrv\inet.exe"

%System%\appmgmt\msser.exe如果运行也会把%System%\cba\task.exe运行起来；
%System%\inetsrv\inet.exe运行后则会创建%System%\appmgmt\msser.exe的启动项。

通过观察，它们会从网络上读取信息并下载文件，可能是用做程序更新的吧。
从临时文件中发现download.htm和download.ini，其中有类似“select * from download where

datetime='日期'”的读取数据库语句。

说一下如何除掉它们：
如果它们的进程不在进程里，那么就可以直接找到这些文件删除掉：
C:\windows\temp\Install\setup.exe
%System%\appmgmt\msser.exe
%System%\cba\task.exe
%System%\inetsrv\inet.exe
%System%\dllcache\mstunint.dll
%System%\dllcache\mstunmsr.dll
%System%\dllcache\mstuntsk.dll

到注册表编辑器里删除以下两个启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSSER"="%System%\appmgmt\msser.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"IIS"="%System%\inetsrv\inet.exe"

这个位置是它们建立的，也可删除：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tunl]

总结：以往的病毒和木马只要将服务删掉，再把启动项删掉，就能解决问题。所以今天疏忽了[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"IIS"="%System%\inetsrv\inet.exe这项。就是它在加载，可恶！我是从天空下的珊瑚虫，没想到也这样！
我今天搜索到这里，也来求救了！！！
msser.exe把我弄安逸了，弄了一天没完全搞定！！！现在一启动就要加载msser.exe，每次把C:\WINDOWS\SYSTEM32\APPMGMT着个文件夹干掉，重起后都有，但没msser.exe，这个程序给我弄掉了。但每次启动，注册表的启动项里都会加载msser.exe，加载地址都是C:\WINDOWS\SYSTEM32\APPMGMT\MSSER.EXE。
我在服务里看到一个陌生的服务，和APPMGMT相似（具体的忘记了），把服务干掉后，删掉启动项里的，进程里就没有msser.exe了，但重起后注册表还是要加载，于是用hijackthis扫描IE，果然里面有，把IE里的也干掉，可重起后还是要加载，只是加载的是空的，进程里没msser.exe,但为什么每次都要加载了？一定还有幕后黑手，可我找了半天也没找到！我的KAV服务器版今天也哑了，对它视而不见！！！

卡吧报它是：是4.24日才报的新木马病毒
Trojan-Downloader.win32.small.asu
删除：

进安全模式
删除system32\cba\task.exe
删除system32\appmgmt.exe
删除C:\windows\temp\Install\setup.exe
删除system32\icon目录
搜索drmk.sys ks.sys删除
删除system32\appmgmt目录

珊瑚虫版本应该没有问题，可能其它软件有木马。比如我有比特精灵下载电影后，中了木马，情况就和你的一样。/