如何分析和清除网游盗号木马ztdll,wincab.sys?

如何分析和清除网游盗号木马ztdll,wincab.sys?

释放文件
%System%ztdll.dll
%System%wincab.sys
%Windir%Intelrundll32.exe
%Documents and Settings%用户名Local SettingsTempck.dll

添加注册表信息
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun]
rzt %Windir%Intelrundll32.exe
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices]
100320012 %System%wincab.sys

运行特点
系统驱动100320012为随机名称，同时ck.dll为随机名称
cs.dll和ztdll.dll均插入系统多个进程，包括rundll32.exe

解决过程：
1、清除系统临时文件，可以使用CCleaner来进行
2、终止进程rundll32.exe
3、用冰刃IceSword删除其添加的注册表信息
4、用unlocker解锁删除ztdll.dll和ck.dll文件，并用冰刃IceSword来删除wincab.sys文件
5、文中涉及的所有工具到百度搜索均可有下载