清除进程msser 珊瑚QQ病毒防范技巧
2024-07-18 08:27:31
供稿：网友
有不少帖子反映发现不明程序msser.exe，通过大家提供的信息发现它和“珊瑚虫QQ”有着密切的关系，随后经过一番实验，该问题也基本得到了解决。
这个问题其实是“珊瑚虫QQ”里附带的“ebay易趣购物工具”引起的，安装“珊瑚虫QQ”，默认会选择安装上“ebay易趣购物工具”，而安装了“ebay易趣购物工具”，则会出现以下一系列“问题”。
涉及的相关文件有七个，分别为:
C:/windows/temp/Install/setup.exe
%System%/appmgmt/msser.exe
%System%/cba/task.exe
%System%/inetsrv/inet.exe
%System%/dllcache/mstunint.dll
%System%/dllcache/mstunmsr.dll
%System%/dllcache/mstuntsk.dll
对这些文件进行比较发现，其中:
%System%/appmgmt/msser.exe和%System%/dllcache/mstunmsr.dll内容是一样的;
%System%/cba/task.exe和%System%/dllcache/mstuntsk.dll内容是一样的;
%System%/inetsrv/inet.exe和%System%/dllcache/mstunint.dll也是一样的。
(同时也从它们的文件名发现这些文件之间是存在某些关联的)
C:/windows/temp/Install/setup.exe，从名字看像是安装程序吧，运行后释放其它几个文件，并建立启动项，如下:
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"MSSER"="%System%/appmgmt/msser.exe"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/policies/Explorer/Run]
"IIS"="%System%/inetsrv/inet.exe"
%System%/appmgmt/msser.exe，运行后会把%System%/cba/task.exe运行起来，它和%System%/cba/task.exe都会尝试从远程计算机上下载文件，下载的可能是程序的更新吧;
%System%/inetsrv/inet.exe，运行后则会创建%System%/appmgmt/msser.exe的启动项。
通过观察还发现它们会从远程计算机(服务器吧)上读取一些信息，从临时文件中发现了download.htm和download.ini，其中有类似“select * from download where datetime='日期'”的数据库语句，可能记录的是程序的更新信息，也可能是每天都有那些信息需要下载。
简单的说明就这些吧，下面说一下如何除掉它们:
首先你可以看一看进程里有没有%System%/appmgmt/msser.exe和%System%/cba/task.exe的进程，如果它们不在进程里，那么就先直接找到这些文件删除掉:
C:/windows/temp/Install/setup.exe
%System%/appmgmt/msser.exe
%System%/cba/task.exe
%System%/inetsrv/inet.exe
%System%/dllcache/mstunint.dll
%System%/dllcache/mstunmsr.dll
%System%/dllcache/mstuntsk.dll
删除了文件后再到注册表编辑器里删除以下两个启动项:
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"MSSER"="%System%/appmgmt/msser.exe"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/policies/Explorer/Run]
"IIS"="%System%/inetsrv/inet.exe"
另外还有这个位置，也是它们建立的，一起删除了吧:
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Tunl]
如果要避免这个问题，大家在安装“珊瑚虫QQ”的时候选择自定义安装，把“ebay易趣购物工具”前的勾去掉不装它就行。从这个问题也可以提醒大家以后在安装一些共享软件的时候要注意先查看一下到底会安装哪些东西到计算机里面，如果自己不想要的可以选择自定义安装来去掉不装，软件安装前的授权许可协议信息也要稍微看一下(最好是仔细阅读)，如果该程序会附带安装其它程序一般会在其中说明，比如像很多共享软件都会带上“很棒小秘书”，另外还有“MyIMLite”、“Desktop Media”等等，这些都是经常“困扰”大家的，哦差点忘记几个更“有名”的了，就是大家非常熟悉的“3721上网助手/网络实名”和“CNNIC中文域名程序”。
