病毒鹹魚飯 - xrt_collect－羅必達工作室

2008/5/13 遇到的小問題, 看起來像病毒
google 找到很少的資料, 關鍵字是xrt_collect或者 xrt_ 開頭的

以下連結可供參考

http://forums.activeworlds.com/showthread.php?p=61761

http://icrontic.com/forum/showthread.php?p=565574

可觀察到的反應：
1. Internet Explorer 連上網站很慢
2. 開機後出現錯誤訊息, 在事件檢視器有以下內容

事件類型:資訊
事件來源:Application Popup
事件類別目錄:無
事件識別碼:26
日期:2008/5/13
時間:上午 09:09:41
使用者:不適用
電腦:ARIEL
描述:
應用程式快顯: Explorer.EXE - 應用程式錯誤: "0x77fcc663" 指令參考的 "0x07018807" 記憶體。該記憶體不能為 "written"。
請按 [確定] 終止程式

在目錄下有以下檔案C:/Documents and Settings/<<目前登入者>>/
xrt_collect.zip
xrt_?????.exe
xrt_log.dat

登錄檔內容變更或增加以下內容
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"xrt_shell"="C:Documents and Settings<<目前登入者>>xrt_?????.exe"

以下二個位置有相同資料內容
[HKEY_USERS/S-1-5-21-1409082233-2146802855-682003330-1179/Software/Microsoft/Windows/CurrentVersion]
[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion]

"xrt_id"="2647442680"
"xrt_options"=(資料太多省略)
"xrt_opt_server1"="pull2.assisback.com"
"xrt_opt_reserv"="124.217.249.24"
"xrt_opt_forms"="/cgi-bin/forms.cgi"
"xrt_opt_certs"="/cgi-bin/cert.cgi"
"xrt_opt_options"="/cgi-bin/options.cgi"
"xrt_opt_ss"="/cgi-bin/ss.cgi"
"xrt_opt_pstorage"="/cgi-bin/pstore.cgi"
"xrt_opt_command"="/cgi-bin/cmd.cgi"
"xrt_opt_file"="/cgi-bin/file.cgi"
"xrt_opt_idproject"="0001"
"xrt_opt_pauseopt"="800"
"xrt_opt_pausecert"="200"
"xrt_opt_deletecookie"="yes"
"xrt_opt_deletesol"="no"
"xrt_newversion"=dword:00000000
"xrt_control_crc"=dword:2055d368