下载型病毒mxdispdr.sys / msplrct.dll

　　C:WINDOWSsystem32msplrct.dll（这个是临时的，不在磁盘上）

C:WINDOWSsystem32driversmxdispdr.sys（想办法把这个文件搞定就可以了）

　　病毒很隐蔽，将msplrct.dll注入到了winlogon进程，试了不少工具，都不太好用。最后不得已，在DOS环境下删除了C:WINDOWSsystem32driversmxdispdr.sys，暂时风平浪静！

　　驱动名称: mxdispdr

文件名　　 : mxdispdr.sys

MD5　　　　: 640946156c5bb6d04b6395459aba7ec8

IDA Strings:___________________________________

　　.text:00011DBA　　 00000007 C System　　　　　　　　　　

.text:00011DC2　　 00000007 C System　　　　　　　　　　

.text:000129FA　　 00000006 C 89401　　　　　　　　　　　

.rdata:00014224 0000000C C DeleteFileW　　　　　　　　

.rdata:00014230 00000009 C lstrcatW　　　　　　　　　

.rdata:0001423C 00000014 C GetSystemDirectoryW　　　　

.rdata:00014250 0000000D C LoadLibraryW　　　　　　　

INIT:00014C1C　　　00000013 C CreateSystemThread　　　　

INIT:00014C44　　　00000015 C IoCreateSymbolicLink　　　

INIT:00014C5C　　　0000000F C IoCreateDevice　　　　　　

INIT:00014C70　　　00000013 C lInitUnicodeString　　　　

INIT:00014CBC　　　00000016 C ExAllocatePoolWithTag　　　

INIT:00014CD4　　　0000000B C ZwReadFile　　　　　　　　

INIT:00014CEC　　　00000017 C ZwQueryInformationFile　　

INIT:00014D4C　　　0000001A C MmGetSystemRoutineAddress　

INIT:00014D68　　　00000008 C strncmp　　　　　　　　　　

INIT:00014D74　　　00000012 C GetCurrentProcess　　　　　

INIT:00014D88　　　00000013 C ZwMapViewOfSection　　　　

INIT:00014DBC　　　00000015 C ZwUnmapViewOfSection　　　

INIT:00014DD4　　　00000015 C IoDeleteSymbolicLink　　　

INIT:00014DEC　　　00000013 C IofCompleteRequest　　　　

INIT:00014E04　　　00000014 C WaitForSingleObject　　　　

INIT:00014E50　　　00000012 C KeInitializeEvent　　　　　

INIT:00014E64　　　00000017 C KeUnstackDetachProcess　　

INIT:00014E80　　　0000001B C MapLockedPagesSpecifyCache

INIT:00014EA0　　　00000013 C StackAttachProcess　　　　

INIT:00014EB8　　　00000008 C FreeMdl　　　　　　　　　　

INIT:00014EC4　　　00000012 C ProbeAndLockPages　　　　　

INIT:00014ED8　　　0000000E C IoAllocateMdl　　　　　　　

INIT:00014EE8　　　00000011 C _except_handler3　　　　　

INIT:00014EFC　　　0000000B C KeSetEvent　　　　　　　　

INIT:00014F0C　　　00000016 C TerminateSystemThread　　　

INIT:00014F24　　　00000018 C ZwAllocateVirtualMemory　

____________________________________________________

　　参考资料:

　　http://virscan.org/report.php?id=722d8a17daa7e0458689754f8af3d30c&lang=zh-CN

　　Runscanner.net

　　

	Filename	Company	Version	MD5 hash
	mxdispdr.sys			00686F51A632C389D2012F2214BD3DF0
	mxdispdr.sys			29D1A31D99D17D7AB913D34352F82240
	mxdispdr.sys			2DA1952C15E2F7D85B391230661FDAD3
	mxdispdr.sys			5111FA6E79132C6B14989DD1289696F4
	mxdispdr.sys			582DB7E50A021AC3AE16F415FA49322F
	mxdispdr.sys			6715AA287D00D3B905287A52EE7AB366
	mxdispdr.sys			8FE1659DF3300792A135561A24A4BFA1
	mxdispdr.sys			93426753F6B82D9358C2389BDA77B6C2

　　http://www.runscanner.net/getprocess.aspx?Process=mxdispdr.sys&S1=GO

　　案例： [求助] 大哥,帮忙看下日志I,E出问题了查不出原因....

　　正在运行的进程

[PID: 916][??C:WINDOWSsystem32winlogon.exe]　 [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]

[C:WINDOWSsystem32klogon.dll]　 [Kaspersky Lab, 6.0.0.299]

[C:WINDOWSsystem32msacm32.drv]　 [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]

[C:WINDOWSsystem32msplrct.dll]　 [N/A, ]

==================================

驱动程序

[mxdispdr / mxdispdr][Running/Auto Start]

　 <??C:WINDOWSsystem32driversmxdispdr.sys><N/A>