移除流氓软件Adware.CDN cdnprot.sys示范教学 @ 电瘾院

移除流氓软件Adware.CDN cdnprot.sys示范教学

devirus | 27 September,2007 7:44

Adware.CDN

　　今天在帮客户清木马病毒时，根据我之前的解毒教学「电脑中毒了要怎么办？处理流程教学总整理」操作，先关掉「系统还原」、观察「工作管理员」、「更新病毒码」、「检查登录表」，「先用防毒软件扫」，「再用Lavasoft的Adaware扫」，最后扫出一堆木马病毒，也都成功的解掉了，不过到最后，发现到Adaware一直搞不定Adware.CDN这一只，每次清完重新开机它又再一次的跑出来，进入Windows保护模式下去杀，开机后也又再跑出来，下列就是这位仁兄
　　「c:\windows\system32\drivers\cdnprot.sys 」，真的可以称它是打不死的小强。

　　每次清病毒总是会有这种情况，就是总是会有那一、两只会清不掉的。

我的处理步骤

　　像这样的情况就是处理流程教学文章中「特殊情况」，我面对这样的情况，就会先上网找一下这个病毒的相关数据，如这个例子「cdnprot.sys」，
　　我就会在Yahoo或是Google输入关键词「cdnprot.sys symantec」，我在cdnprot的后面输入symantec就希望找到的是symantec专业的数据，这个cdnprot.sys的例子，似乎找不太到Symantec的专业资料，大部份都是求救的苦主所Po出来的文章，

　　其中我用Yahoo搜寻到
http://www.chinahtml.com/network/3/2006/11655599809365_3.shtml这个网站，根据这个网站我们知道这部电脑中的木马病毒是一个叫「CNNIC中文上网官方版软件」的流氓软件，像这样的软件都是跟着其它的软件一起安装到你的电脑中，且它安装时是没有任何提示的，就算你到「新增或移除程序」里去移除它，你也移除不了它，这就是为什么它叫「流氓」软件的原因，因为安装之后，就赶不走了。

　　在这篇文章中，也提到了解毒的步骤，如下：

　　1. 进入Windows的「复原主控台」将c:\windows\system32\drivers里的cdnprot.sys及cdntran.sys删除。

　　2. 进入「Windows安全模式」里，输入regedit命令，将
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\cdnprot]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\cdntran]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]子键下的键值"CDNUP.EXE"删除。

　　在我这边的操作，我发现到我这部中毒的电脑的HKEY_LOCAL_MACHINE里的RUN并没有CDNUP.EXE这个键值(也许是一开始时，我就把它给移除了)，所以其它动作就算都做了，这个cdnprot.sys档案在每次开机之后，也是一样再度跑出来，它教的方法对我们这个情况似乎没有用。

　　解毒就是这样，别人有用的方法套用到你这边来不一定就有管用，所以我们只能根据有限的线索来想一些办法，cdnprot.sys每次开机都会一再的跑出来，就代表有某个执行档会在每次的开机后自动执行然后产生出这个档案，我们由这个网站得知，这个执行档的名字有可能叫做「CDNUP.EXE」，虽然它并没有在登录表的Run出现，但我们还是可以试着去找看看电脑的档案里，到底有没有这号人物的存在，如果它是存在的，直接直捣龙穴杀掉它也是可以的。

　　关于找档案的方法，我习惯使用「命令提示字符」，进入「命令提示字符」后，

　　我先输入「cd\」，切回到C磁盘的根目录，然后输入「dir cdnup.exe /s/a」来找在C磁盘里所有的地方(包括隐藏档)，有没有cdnup.exe的存在。(/s代表搜寻所有的数据夹，/a代表隐藏档也要检查)。

　　最后在
C:\Documents and Settings\使用者账号\Local Setting\temp\CdnCli里找到cdnup.exe, 而且在temp里除了CdnCli这个东西之外，也意外发现其它好多的病毒程序，如02355527.exe一堆八位数档名的执行档，我除了将这个使用者账号temp里的东西全清掉之外，也去检查了其它使用者账号里的temp，也一起都清干净了，你会发现有些档案「正在使用中」而杀不掉，这时你就可以切换到「Windows安全模式」下去杀。

　　最后重新开机后，发现这个cdnprot.sys档案，还在....(虽然清了这么多有问题的东西)

　　我最后在「命令提示字符」里，先「cd\」，再输入「dir cdn*.* /s/a」，我想了解一下，到底电脑里面还有哪些是cdn开头的档案，后来也是找出了五、六个有问题的地方，其中有个比较特别的地方是「RECYCLED」，它躲在资源回收桶里，我最后将这些cdn开头的档案清除了之后，全新开机，这个cdnprot.sys就没有再出现过了。

　　最后一个步骤，就是利用Lavasoft的Adaware，之前一直除不掉的Adware.CDN，由于我们已经将来源的档案解决了，所以这一次Adaware就成功的将Adware.CDN清除掉了，而且重新开机后也没有再复发。