清除不明進程msser 珊瑚QQ病毒防范技巧

有不少帖子反映發現不明程序msser.exe，通過大家提供的信息發現它和“珊瑚蟲QQ”有著密切的關系，隨後經過一番實驗，該問題也基本得到了解決。

這個問題其實是“珊瑚蟲QQ”裡附帶的“ebay易趣購物工具”引起的，安裝“珊瑚蟲QQ”，默認會選擇安裝上“ebay易趣購物工具”，而安裝了“ebay易趣購物工具”，則會出現以下一系列“問題”。

涉及的相關文件有七個，分別為:

C:\windows\temp\Install\setup.exe

%System%\appmgmt\msser.exe

%System%\cba\task.exe

%System%\inetsrv\inet.exe

%System%\dllcache\mstunint.dll

%System%\dllcache\mstunmsr.dll

%System%\dllcache\mstuntsk.dll

對這些文件進行比較發現，其中:

%System%\appmgmt\msser.exe和%System%\dllcache\mstunmsr.dll內容是一樣的;

%System%\cba\task.exe和%System%\dllcache\mstuntsk.dll內容是一樣的;

%System%\inetsrv\inet.exe和%System%\dllcache\mstunint.dll也是一樣的。

(同時也從它們的文件名發現這些文件之間是存在某些關聯的)

C:\windows\temp\Install\setup.exe，從名字看像是安裝程序吧，運行後釋放其它幾個文件，並建立啟動項，如下:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MSSER"="%System%\appmgmt\msser.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]

"IIS"="%System%\inetsrv\inet.exe"

%System%\appmgmt\msser.exe，運行後會把%System%\cba\task.exe運行起來，它和%System%\cba\task.exe都會嘗試從遠程計算機上下載文件，下載的可能是程序的更新吧;

%System%\inetsrv\inet.exe，運行後則會創建%System%\appmgmt\msser.exe的啟動項。

通過觀察還發現它們會從遠程計算機(服務器吧)上讀取一些信息，從臨時文件中發現了download.htm和download.ini，其中有類似“select * from download where datetime='日期'”的數據庫語句，可能記錄的是程序的更新信息，也可能是每天都有那些信息需要下載。

簡單的說明就這些吧，下面說一下如何除掉它們:

首先你可以看一看進程裡有沒有%System%\appmgmt\msser.exe和%System%\cba\task.exe的進程，如果它們不在進程裡，那麼就先直接找到這些文件刪除掉:

C:\windows\temp\Install\setup.exe

%System%\appmgmt\msser.exe

%System%\cba\task.exe

%System%\inetsrv\inet.exe

%System%\dllcache\mstunint.dll

%System%\dllcache\mstunmsr.dll

%System%\dllcache\mstuntsk.dll

刪除了文件後再到注冊表編輯器裡刪除以下兩個啟動項:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MSSER"="%System%\appmgmt\msser.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]

"IIS"="%System%\inetsrv\inet.exe"

另外還有這個位置，也是它們建立的，一起刪除了吧:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tunl]

如果要避免這個問題，大家在安裝“珊瑚蟲QQ”的時候選擇自定義安裝，把“ebay易趣購物工具”前的勾去掉不裝它就行。從這個問題也可以提醒大家以後在安裝一些共享軟件的時候要注意先查看一下到底會安裝哪些東西到計算機裡面，如果自己不想要的可以選擇自定義安裝來去掉不裝，軟件安裝前的授權許可協議信息也要稍微看一下(最好是仔細閱讀)，如果該程序會附帶安裝其它程序一般會在其中說明，比如像很多共享軟件都會帶上“很棒小秘書”，，另外還有“MyIMLite”、“Desktop Media”等等，這些都是經常“困擾”大家的，哦差點忘記幾個更“有名”的了，就是大家非常熟悉的“3721上網助手/網絡實名”和“CNNIC中文域名程序”。