此后在12:38分生成了一个tmp.dat文件,内容是
@echo off
debug C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
copy C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\WINDOWS\system32\netstart.exe>C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
del C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat >C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
del C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.in >C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
C:\WINDOWS\system32\netstart.exe
好像是用debug汇编了一段什么程序,这年头常用debug的少见,估计不是什么善茬,因为商业程序员都用Delphi、PB等大程序写软件。
汇编大约进行了1分钟,在12:39生成了netstart.exe、WinSocks.dll、netserv.exe和一个0字节的tmp.out文件。netstart.exe大小117786字节,另两个大小也是52736字节。前两个位于C:\Windows\System32下,后两个在当前用户的Temp文件夹里。
这样我就知道为什么我的系统没有感染的表现了。netstart.exe并没有一直在运行,因为我在任务管理器中没有见过它。把这些文件都删除,我的办法是用winrar压缩并选中完成后删除源文件,然后在rar文件注释中做说明,放一个文件夹里,留待以后研究。这个监狱里都是我的战利品,不过还很少。
现在木马已经清除了。使用搜索引擎查找关于csrss.exe的内容,发现结果不少,有QQ病毒,传奇盗号木马,新浪游戏病毒,但是文件大小和我中的这个都不一样。搜索netstart.exe只有一个日文网站结果,也是一个木马。
这个病毒是怎么进入我的电脑的呢?搜索时发现在12月9日12:36分生成了一个快捷方式,名为dos71cd.zip,它是我那天从某网站下载的DOS7.11版启动光盘,但是当时下载失败了。现在看来根本就不是失败,是因为这个网站的链接本来就是一段网页注入程序,点击后直接把病毒下载来了。
系统csrss.exe错误的危害
系统文件csrss.exe出错,极有可能是盗号木马、流氓软件等恶意程序所导致,其感染相关文件并加载起来,一旦杀毒软件删除被感染的文件,就会导致相关组件缺失,游戏等常用软件运行不起来,通常会伴随下几种情况:
1、桌面图标无法删除
2、网络游戏打不开
3、电脑无故蓝屏
4、电脑没声音
5、桌面无法显示
6、主页被修改为网址导航
修复方法
csrss.exe出错,很多是因为系统中了流氓软件,如果不了解系统,不知道csrss.exe在电脑中的存放位置,那么建议使用修复工具对系统进行最全面的扫描和修复。
首先,建议使用金山毒霸。
然后,点击主界面的快速扫描,进行全面的系统扫描。
最后,按提示重新启动电脑,csrss.exe下载修复完毕。
csrss.exe进程
csrss.exe是系统的正常进程,所在的进程文件是csrss或csrss.exe,为windows的核心进程之一。csrss是Client/Server Runtime Server Subsystem的简称,即客户/服务器运行子系统,用以控制Windows图形相关子系统,必须一直运行。csrss用于维持Windows的控制,创建或者删除线程和一些16位的虚拟MS-DOS环境。
csrss.exe木马
在正常情况下,csrss.exe位于System32文件夹中,若系统中出现两个csrss.exe文件(其中一个位于Windows文件夹中),则很有可能是感染了Trojan.Gutta或W32.Netsky.AB@mm病毒。
清除csrss.exe 木马的方法
用系统的查找功能看看系统盘里是否有以下几个文件:netstart.exe、WinSocks.dll、netserv.exe、sinaproc327.exe、NMWizardA14.exe,如果有,则删除它们。