- Rongsen.Com.Cn 版权所有 2008-2010 京ICP备08007000号 京公海网安备11010802026356号 朝阳网安编号:110105199号
- 北京黑客防线网安工作室-黑客防线网安服务器维护基地为您提供专业的
服务器维护
,企业网站维护
,网站维护
服务 - （建议采用1024×768分辨率，以达到最佳视觉效果） Powered by 黑客防线网安 ©2009-2010 www.rongsen.com.cn
u10.dll文件分析下载及病毒查杀
作者：黑客防线网安Windows教程网 来源：黑客防线网安Windows教程网 浏览次数：0 |
黑客防线网安网讯： usp10.dll是什么？提示没有找到usp10.dll怎么办？usp10.dll是病毒吗？usp10.dll病毒如何查杀？怎样解决usp10.dll修复问题？请看本文详解，usp10.dll下载地址：usp10.dll文件下载。 u...
usp10.dll是什么？提示没有找到usp10.dll怎么办？usp10.dll是病毒吗？usp10.dll病毒如何查杀？怎样解决usp10.dll修复问题？请看本文详解，usp10.dll下载地址：usp10.dll文件下载。
usp10.dll文件进程分析
usp10.dll （1.409.2600.1106）
包含在软件
名字： Windows XP Home Edition, Deutsch
信息链接： http://www.microsoft.com/windowsxp/
文件细节
文件道路： C:\WINDOWS\system32 \ usp10.dll
文件日期： 2002-08-29 14:00:00
版本： 1.409.2600.1106
文件大�。� 339.456 字节
检查和和文件hashes
CRC32: 9DA76CA6
MD5: 06E2 217D 2AF7 50D6 69C8 AACE DD28 090B
SHA1: 7B9A 2876 45A6 A25B 8867 0229 49FE D6E6 816F 6A32
版本资源信息
公司名称： Microsoft Corporation
文件描述： Uniscribe Unicode script processor
文件操作系统： Windows NT, Windows 2000, Windows XP, Windows 2003
文件类型： Dynamic Link Library （DLL）
文件版本： 1.409.2600.1106
内部名： Uniscribe
法律版权： Microsoft Corporation. All rights reserved.
原始的文件名： Uniscribe
产品名称： Microsoft（R） Uniscribe Unicode script processor
产品版本： 1.409.2600.1106
用途：usp10.dll是字符显示脚本应用程序接口相关文件。也可能为病毒
安全等级 （0-5）： 0 （N/A无危险 5最危险）
间谍软件： 可能
广告软件： 否
病毒： 可能
木马： 可能
系统进程： 是
应用程序： 否
后台程序： 否
使用访问： 否
访问互联网： 否
usp10.dll病毒
USP10.dll病毒原理：
正常的USP10.dll是字符显示脚本应用程序接口相关文件，存在于C:\WINDOWS\system32\USP10.dll，也有可能存在于C:\WINDOWS\system32\dllcache\USP10.dll。
usp10.dll木马病毒则是利用window系统目录优先权来启动。
首先来说说这个目录优先权，windows系统在执行一个文件时，首先会在“当前目录”查找所要执行的文件，如果当前目录不存在这个文件，就会到windows\system32\下去查找，如果还是不存在，就会到windows\目录下去查找，如果还是不存在就会在环境变量PATH中的目录下去查找，这个就是windows目录优先权。
这里还要告诉大家是，一个exe文件执行会调用系统不少的DLL。
了解了这个目录优先权和exe应用程序执行时会调用系统dll后，不少朋友可能都已经想到了，这个USP10.dll为什么会把自身大量复制到每个可执行文件同目录下，为什么会取名为USP10.dll？对，复制自身就是让可执行文件在执行的时候抢占目录优先权，而命名为USP10.dll是因为在windows\system32\也有个USP10.dll，很多应用程序启动时都会调用这个dll，这就是这个USP10.dll病毒的启动原理了。[1]
USP10.dll病毒行为：
1 释放usp10.dll挟持常用软件
遍历非系统所在目录的所有驱动器，凡发现目录中存在exe后缀的文件，则将%windir%\tasks\1文件拷贝过去，命名为usp10.dll。牢牢抓住普通用户的使用习惯，导致即使重装系统病毒还会重新启动
2 调用TerminateProcess 结束安全软件的驻留进程，列表如下
kavstart.exe kissvc.exe kmailmon.exe kpfw32.exe kpfwsvc.exe
kwatch.exe
ccenter.exe ras.exe rstray.exe rsagent.exe ravtask.exe
ravstub.exe
ravmon.exe ravmond.exe avp.exe 360safebox.exe 360Safe.exe
Thunder5.exe
rfwmain.exe rfwstub.exe rfwsrv.exe
3 添加对迅雷的映像劫持使迅雷无法启动，具体如下：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion
\Image File Execution Options\Thunder5.exe
“Debugger” REG_SZ “svchost.exe”
4 调用360保险箱卸载参数卸载360保险箱。并通过修改注册表关闭360监控
5 创建线程关闭冰刃之类的安全软件窗口和更改显示隐藏文件
若当前窗口的class为“AfxControlBar42s”，则向此窗口发送WM_CLOSE消息，并模拟键盘的回车键。
修改以下注册表键值，来不显示隐藏文件
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
“Hidden” REG_DWORD 0
“SuperHidden” REG_DWORD 0
“ShowSuperHidden” REG_DWORD 0
6 释放病毒启动，并尝试直接替换输入法程序ctfmon.exe
7 下载大量盗号木马病毒到用户电脑
USP10.dll病毒手动查杀：
首先打开“我的电脑”，选择菜单栏“工具”下的“文件夹选项”，去掉“隐藏受保护的操作系统文件（推荐）”前边的勾，再勾选“显示所有文件和文件夹”。这样做是因为这个USP10.dll病毒把自身修改为系统文件和隐藏文件，正常情况下是看不到的。
USP10.dll病毒会感染系统里所有exe文件，并且把自身复制到被感染exe文件的当前目录。
所以大家需要到安全模式去删除病毒，在安全模式下，病毒还是会驻留在某些系统进程里，这里不用害怕，我们来一步步消灭这可恶的病毒。
在开始菜单选择“搜索”，点击“所有文件和文件夹”，在“全部或部分文件名”里写上“usp10.dll”，然后直接点“搜索”，系统会搜索出所有盘符下的USP10.dll病毒。
注意：C:\WINDOWS\system32\USP10.dll和C:\WINDOWS\system32\dllcache\USP10.dll目录文件的不是病毒，其他的都是，等把所有usp10.dll搜索出来后，就删除掉。C:\WINDOWS\USP10.dll可能一时删不了，这个也是病毒，只是还有进程在使用他，我们可以先给他改个名字，重命名一下，只要不是usp10.dll就可以，然后重新启动，再回到C:\WINDOWS\把你刚改的名字的病毒删掉就可以了。
这里我总结下：C:\WINDOWS\system32\USP10.dll和C:\WINDOWS\system32\dllcache\USP10.dll不能删，其他usp10.dll都删除，C:\WINDOWS\USP10.dll可能一时删不了，重命名后删除。
如果您还觉得不放心，可以在注册表查询USP10.dll，删除可疑项目。
usp10.dll修复：
下载usp10.dll文件，将文件拷贝到C:\WINDOWS\system32\目录下，然后开始-运行regsvr32
usp10.dll，重启电脑即可。
推荐阅读：ntdll.dll文件分析 ntdll.dll出错解决及下载 msvcirt.dll文件分析、下载及提示缺少msvcirt.dll解决
黑客防线网安服务器维护方案本篇连接：http://www.rongsen.com.cn/show-18751-1.html
新闻栏目
| 我要申请本站：N点 | 黑客防线官网 | |
| 专业服务器维护及网站维护手工安全搭建环境，网站安全加固服务。黑客防线网安服务器维护基地招商进行中！QQ:29769479 |