红蜻蜓工作室

恶意中文通用域名控件的清除手记

作者： phanrider 2005-12-27

一日上网，在安焦BBS区闲逛，看贴不回贴（希望不要骂我-_-），潜水中。

本以为相安无事，忽对众ID签名感了兴趣，遂一一查看，看看有无隐藏高手之主页，于是马从页中来，点了一个主页后，硬盘灯一阵狂闪，知道不好，立刻关掉当前窗口。再打开一个新的IE，没得办法，因为是公司的笔记本，不能乱安装其他软件，XP的各种补丁包也不是太全。新出来的IE地址栏最后多出个输入中文域名什么的了。至此已中马，但令我更没想到的还在后面。

于是，按一般步骤删除，轻车熟路，打开控制面板，添加删除程序，已安装程序中，看到有个中文通用域名什么来的，点WINDOWSXP自己的删除功能，会来提示什么的，输入四位删除号的，提示已经删除，要重启系统，于是按要求重启，本以为问题到此结束，也就不会有此文了。

再次打开IE，看看效果，哪个向左的提示符号还在，晕。再看添加删除程序中，中文通用域名在瞪着眼看着我。

好的，看来不动点真实的是不行了

第一步，先到中文通用域名的老家CCNIC去下一个同样的程式去安装，这个比较正规化，有提示，有下一步什么的。安装完毕，在添加删除中可以看到两个中文通用域名程序。拉到最下面，删除最后一个，也有提示，也让输入四位删除号，然后提示重启，重启后一看，正规军确实删除了。

第二步，仔看观看二个文件安装后大小，发现大小不一样，证明删除不掉的哪个文件已被修改，机器已经中马，NOTORN更本报都没报，用TASKLIST查看进程情况，发现CND.DLL（搞不清楚是CND还是CDN了）注入了SVCHOST.EXE进程中，在WINDOWS\SYSTEM32\目录下也有相关文件无法删除。安装文件夹中文件更本动也动不了。

第三步，已中马，也无第三方系统，更不能拆了公司的本本，以恶制恶吧。在中马环境下，先查出进程，再杀之，详细步骤如下，文件名CND，是不是这个文件名无关系，关键在于思想，这是事后回忆的，懒得去记哪个文件名到底叫什么了。

d:\>tasklist -m >> test

d:\>notepad test //找到含有CND.DLL模块的哪个进程ID （例：1234）

d:\>taskkill /f /pid 1234

d:\>shutdown -a //因为杀掉关键进程svchost.exe后，如中冲击波一样，出现重启提示

第四步，不能删除文件了，只能更改cnd.dll所在的文件夹的名称，再重启机器，就可以删除program files文件夹中cnd.dll所在的文件夹了。删除windows\system32目录下相关文件，包含cnd或生成时间为今天刚生成的。然后用regedit修改注册表中所有含有cnd.dll的所有键值，其中有一个winsock2的键值也包含这个，于是删除之，网络出现问题了，再也不能上网了，任何网络连接都没有用，重新启动机器，进入系统狂慢，机器不停地在寻找试图修复网络设置。N多关于网络的命令不能执行。

最后，还是去百度一下吧，看到微软官方的解决方法，去掉winsock和winsock2键下所有的值，然后重新启动机器，重新安装网卡协议什么的，最后一切OK，用时120分钟，汗-_-！