【重赏】wincab病毒问题

网游盗号马ztdll.dll、wincab.sys的简单分析与清除释放文件

%System%\ztdll.dll

%System%\wincab.sys

%Windir%\Intel\rundll32.exe

%Documents and Settings%\用户名\Local Settings\Temp\ck.dll

添加注册表信息

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

rzt %Windir%\Intel\rundll32.exe

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]

100320012 %System%\wincab.sys

运行特点

系统驱动100320012为随机名称，同时ck.dll为随机名称

cs.dll和ztdll.dll均插入系统多个进程，包括rundll32.exe

解决过程：

1、清除系统临时文件，可以使用CCleaner来进行

2、终止进程rundll32.exe

3、用冰刃IceSword删除其添加的注册表信息

4、用unlocker解锁删除ztdll.dll和ck.dll文件，并用冰刃IceSword来删除wincab.sys文件

盗版系统基本都这样，你先下载最新的QQ安装包到其它盘，重新安装一下系统，装好时先别卸载它自带的QQ,你再安装一下你下载的那个QQ，这样就可以在添加/删除程序里面卸载QQ了，删除所有的QQ文件夹，用ccleaner清理注册表。然后再安装QQ，为什么要卸载重装？你说盗版的QQ会有后门吗？恐怕只有做系统的人才知道了。

就是用数据恢复软件不能恢复删除的东西。擦除空闲空间是真正意义的删除数据，一般的删除只是做一个标识没内容还是在硬盘上的，这是可以通过数据恢复软件恢复从回收站删除的东西。

空闲空间就是指除了当前正在使用空间之外的部分，比如系统分区是20g, *** 作系统占用了5g，软件就会将剩下的15g擦一遍，这么做的作用是，之前从回收站清空的文件虽然系统下看不到了，但实际还是保存在硬盘上，通过一些软件是能恢复出来的，擦过之后就彻底安全了。

不过虽然文件内容被擦掉了，注册表里还是会有一些文件的浏览痕迹，这个功能是清不掉的

扩展资料：

关于擦除空闲空间的说明：

硬盘数据擦除旨在通过相关的硬盘数据擦除技术及硬盘数据擦除工具，将硬盘上的数据彻底删除，无法恢复。

NTFS 中包含一个称为主文件表 (MFT) 的文件。MFT 是一个映射磁盘中储存的所有对象的索引文件。

在 MFT 中，NTFS 磁盘上的每个文件(包括 MFT 自身)至少有一映射项。MFT 中的各项包含如下数据： 大小、时间及时间戳、安全属性和数据位置。只有擦除它，才能使数据恢复软件扫描不出已经被删除的文件的文件名。

---