大砲開講

趨勢科技「iClean解毒快手」的真假面目…

2008 年 07 月 25 日 – 15:45:10

關於「iClean解毒快手」，趨勢科技網站是這樣描述：iClean解毒快手是趨勢科技提供用戶使用的免費清毒工具，可清除時下流行的常見病毒與Rootkit程式；並可同步收集未知惡意程式的相關檔案與資訊，使用者將收集到的資料回傳後可供趨勢科技做為進一步的分析的依據，不論您是否為趨勢科技企業用戶或是個人用戶，皆可下載使用。

此工具真的那麼神嗎(我不知道，他們也沒提供數據)？會不會誤判呢(我的測試環境會發生此現象)？

iClean執行後，第一個畫面，如下所示：

上圖中紅框部分顯示「此程式會協助您刪除特定的惡意機碼與檔案，並將於各重要系統目錄下建立數個常見惡意程式名稱資料夾，藉由此方式避免持續變種的惡意程式利用任何方式入侵系統。」

哇！原來是這樣做啊！惡意程式這麼笨嗎？麻煩你們去問問Engine Team的工程師吧！

iClean執行結束後，發現它會在系統中殘留一些檔案(真是不應該)及增加很多含有隱藏屬性的資料夾(如果您同意的話)，如下所示：

[增加服務]
NAME: tmcomm
DISPLAY: tmcomm
FILE: \??\C:\WINDOWS\system32\drivers\tmcomm.sys

[增加檔案]
C:\Documents and Settings\Administrator\Desktop\Upload.zip
C:\Documents and Settings\Administrator\Desktop\VCT_Backup.zip
C:\Temp\iClean\null
C:\WINDOWS\system32\drivers\tmcomm.sys
C:\WINDOWS\VCT.LOG
C:\_@A8.tmp (很奇怪勒！)
C:\_@A9.tmp (很奇怪勒！)
C:\_@AA.tmp (很奇怪勒！)

[增加隱藏資料夾]
C:\3r33c.cmd
C:\3ve.com
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5
C:\Program Files\Common Files\Microsoft Shared\MSInfo\00ac41ba.dll
C:\Program Files\Common Files\Microsoft Shared\MSInfo\320d180e.dat
C:\Program Files\Common Files\Microsoft Shared\MSInfo\320d180e.dll
C:\Program Files\Common Files\Microsoft Shared\MSInfo\45661adb.dll
C:\Program Files\Common Files\Microsoft Shared\MSInfo\4ff300fe.dll
C:\Program Files\Common Files\Microsoft Shared\MSInfo\syswfgwd2.dll
C:\Program Files\Internet Explorer\onlo0r.dll
C:\Program Files\inst.exe
C:\Program Files\microsoft
C:\Program Files\microsoft\svhost32.exe
C:\Program Files\mypicture.exe
C:\Temp\iClean
C:\Temp\iClean\log
C:\WINDOWSHELP
C:\WINDOWSHELP\F3C74E3FA248.EXE
C:\WINDOWSHELP\F3C74E3FA248.dll
C:\WINDOWS\215366l.exe
C:\WINDOWS\215366m.exe
C:\WINDOWS\235780m.exe
C:\WINDOWS\235780mm.dll
C:\WINDOWS\235780w.exe
C:\WINDOWS\235780wo.dll
C:\WINDOWS\Debug\096476aa7661.dll
C:\WINDOWS\Debug\0c9c4681802f.dll
C:\WINDOWS\Debug\0c9c4681802f.exe
C:\WINDOWS\Debug\231346e28d27.dll
C:\WINDOWS\Debug\231346e28d27.exe
C:\WINDOWS\Debug\2798448c9e17.dll
C:\WINDOWS\Debug\29124d4aa81f.dll
C:\WINDOWS\Debug\29124d4aa81f.exe
C:\WINDOWS\Debug\31ab48b7a1fe.dll
C:\WINDOWS\Debug\31ab48b7a1fe.exe
C:\WINDOWS\Debug\35c4496fb94c.dll
C:\WINDOWS\Debug\35c4496fb94c.exe
C:\WINDOWS\Debug\3a164bdb8eb1.dll
C:\WINDOWS\Debug\3e9f4542bfb2.dll
C:\WINDOWS\Debug\62d4f8f5ddac.dll
C:\WINDOWS\Debug\62d4f8f5ddac.exe
C:\WINDOWS\Debug\6c2e46f9bf9f.dll
C:\WINDOWS\Debug\6c2e46f9bf9f.exe
C:\WINDOWS\Debug\8bf414b99afe.dll
C:\WINDOWS\Debug\8bf414b99afe.exe
C:\WINDOWS\Debug\92f54d81a560.dll
C:\WINDOWS\Debug\92f54d81a560.exe
C:\WINDOWS\Debug\94524f281a33.dll
C:\WINDOWS\Debug\948640568bf9.dll
C:\WINDOWS\Debug\UserMode\28bfe5.dll
C:\WINDOWS\Debug\UserMode\f9b394.dll
C:\WINDOWS\Debug\b831406a9770.0xe
C:\WINDOWS\Debug\b831406a9770.dll
C:\WINDOWS\Debug\b831406a9770.exe
C:\WINDOWS\Debug\b8334cf3a8b1.dll
C:\WINDOWS\Debug\be8540978c80.dll
C:\WINDOWS\Debug\be8540978c80.exe
C:\WINDOWS\Debug\cc34fc9cc812.dll
C:\WINDOWS\Debug\cc34fc9cc812.exe
C:\WINDOWS\Debug\f01a4acbb854.dll
C:\WINDOWS\Debug\pctools.dll
C:\WINDOWS\Debug\thread.dll
C:\WINDOWS\Debug\thread.exe
C:\WINDOWS\Fonts\mndoor0.dll
C:\WINDOWS\Help\07ee48aabfd6.dll
C:\WINDOWS\Help\07ee48aabfd6.exe
C:\WINDOWS\Help\1df4492ab106.dll
C:\WINDOWS\Help\1df4492ab106.exe
C:\WINDOWS\Help\2a979653474d.dll
C:\WINDOWS\Help\2a979653474d.exe
C:\WINDOWS\Help\2ace4cfbaf2c.dll
C:\WINDOWS\Help\2ace4cfbaf2c.exe
C:\WINDOWS\Help\45ad9fca.dll
C:\WINDOWS\Help\45ad9fca.exe
C:\WINDOWS\Help\F3C74E3FA248.0ll
C:\WINDOWS\Help\F3C74E3FA248.0xe
C:\WINDOWS\Help\b0b9421333cf.xe
C:\WINDOWS\Help\b41346efa848.dll
C:\WINDOWS\Help\b41346efa848.exe
C:\WINDOWS\Help\b41346efa848.xe
C:\WINDOWS\Help\b48791d91917.xe
C:\WINDOWS\Help\b5da4fab4d75.xe
C:\WINDOWS\Help\b7c8a6484ee3.xe
C:\WINDOWS\Help\be924c2c.exe
C:\WINDOWS\Help\be924c2c.xe
C:\WINDOWS\Help\ca7a4858fc44.exe
C:\WINDOWS\Help\ca7a4858fc44.xe
C:\WINDOWS\Help\d03e4f78bd80.exe
C:\WINDOWS\Help\d03e4f78bd80.xe
C:\WINDOWS\Help\d563ba79b410.exe
C:\WINDOWS\Help\db4cafbc4c43.exe
C:\WINDOWS\Help\e5ed8bc94a26.dll
C:\WINDOWS\Help\e5ed8bc94a26.exe
C:\WINDOWS\Help\eb6c4499b05f.exe
C:\WINDOWS\Help\f3c74e3fa08.dor.exe
C:\WINDOWS\Help\f3c74e3fa08.exe
C:\WINDOWS\Help\f3c74e3fa248.dll
C:\WINDOWS\Help\f3c74e3fa248.exe
C:\WINDOWS\Help\f3c74e3fa248.xe
C:\WINDOWS\Help\f3c74e3fa2481.exe
C:\WINDOWS\Help\wshmcepts.chm
C:\WINDOWS\Installer\services.exe
C:\WINDOWS\Temp\hb9e3.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\csrscde.exe
C:\WINDOWS\ctfmon.exe
C:\WINDOWS\dbghlp32.exe
C:\WINDOWS\debub
C:\WINDOWS\debub\6c2e46f9bf9f.dll
C:\WINDOWS\debub\6c2e46f9bf9f.exe
C:\WINDOWS\f3c74e3fa248.dll
C:\WINDOWS\f3c74e3fa248.exe
C:\WINDOWS\fbgnwx.exe
C:\WINDOWS\fly32.dll
C:\WINDOWS\goods32.dll
C:\WINDOWS\host.exe
C:\WINDOWS\java\4b8a877e1319.dll
C:\WINDOWS\java\4b8a877e1319.exe
C:\WINDOWS\java\4d1b90fddf6b.dll
C:\WINDOWS\java\4d1b90fddf6b.exe
C:\WINDOWS\java\914bd3003935.dll
C:\WINDOWS\java\a1224a67c97a.dll
C:\WINDOWS\java\a1224a67c97a.exe
C:\WINDOWS\java\a4c9484c051e.dll
C:\WINDOWS\logo_1.exe
C:\WINDOWS\lotushlp.exe
C:\WINDOWS\msmsgr32.exe
C:\WINDOWS\msmsgrs.exe
C:\WINDOWS\nclaunch.exe
C:\WINDOWS\ndis.exe
C:\WINDOWS\pmhjiu.exe
C:\WINDOWS\poor32.dll
C:\WINDOWS\ptsshell.exe
C:\WINDOWS\richdll.dll
C:\WINDOWS\rundl132.exe
C:\WINDOWS\services.exe
C:\WINDOWS\shareb32.dll
C:\WINDOWS\shares32.dll
C:\WINDOWS\sscserv.exe
C:\WINDOWS\svch0st.exe
C:\WINDOWS\svchost.exe
C:\WINDOWS\svhostser.exe
C:\WINDOWS\swchost.exe
C:\WINDOWS\system32\10ab4bac.dll
C:\WINDOWS\system32\3f7199d8.exe
C:\WINDOWS\system32\4503a356.dll
C:\WINDOWS\system32\88676da6.exe
C:\WINDOWS\system32\Com\comrepl32.exe
C:\WINDOWS\system32\KerndDrv.dll
C:\WINDOWS\system32\a.exe
C:\WINDOWS\system32\ace.dll
C:\WINDOWS\system32\advsvuwt.exe
C:\WINDOWS\system32\appconf.exe
C:\WINDOWS\system32\atmconf.exe
C:\WINDOWS\system32\atsdisc.exe
C:\WINDOWS\system32\awef.dll
C:\WINDOWS\system32\awtsr.dll
C:\WINDOWS\system32\bjrvm.dll
C:\WINDOWS\system32\bnxnb.dll
C:\WINDOWS\system32\brwconf.exe
C:\WINDOWS\system32\c.7.0.exe
C:\WINDOWS\system32\c.8.0.exe
C:\WINDOWS\system32\cdbg32.exe
C:\WINDOWS\system32\cdxbfxdb.dll
C:\WINDOWS\system32\cee67f0a.exe
C:\WINDOWS\system32\chbserw1.exe
C:\WINDOWS\system32\chmfcmh.dll
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\cmsdn32.exe
C:\WINDOWS\system32\cncersh.exe
C:\WINDOWS\system32\crslc.exe
C:\WINDOWS\system32\crugd.dll
C:\WINDOWS\system32\dbfb.dll
C:\WINDOWS\system32\dbghlp32.dll
C:\WINDOWS\system32\ddb3f35c.exe
C:\WINDOWS\system32\death.exe
C:\WINDOWS\system32\dentwin.exe
C:\WINDOWS\system32\dfhsh.dll
C:\WINDOWS\system32\dgxsrr.dll
C:\WINDOWS\system32\dh2104.dll
C:\WINDOWS\system32\dhcp\svchost.exe
C:\WINDOWS\system32\dnteh.dll
C:\WINDOWS\system32\drghszd.dll
C:\WINDOWS\system32\drivers\msosmsfpfis64.sys
C:\WINDOWS\system32\dscef.dll
C:\WINDOWS\system32\edconss.exe
C:\WINDOWS\system32\eddesp.exe
C:\WINDOWS\system32\ektvm.dll
C:\WINDOWS\system32\ethsh.dll
C:\WINDOWS\system32\fdght.dll
C:\WINDOWS\system32\ff.exe
C:\WINDOWS\system32\fghshj.dll
C:\WINDOWS\system32\fhjfg.dll
C:\WINDOWS\system32\fjnbv.dll
C:\WINDOWS\system32\fjyjy.dll
C:\WINDOWS\system32\fly.exe
C:\WINDOWS\system32\fngn.dll
C:\WINDOWS\system32\frntrn.dll
C:\WINDOWS\system32\fxgnfx.dll
C:\WINDOWS\system32\fxnfnh.dll
C:\WINDOWS\system32\fxshliyv.exe
C:\WINDOWS\system32\gdmoyi32.dll
C:\WINDOWS\system32\ghjdtry.dll
C:\WINDOWS\system32\gjjte.dll
C:\WINDOWS\system32\gjkhj.dll
C:\WINDOWS\system32\gmnait.dll
C:\WINDOWS\system32\goods.exe
C:\WINDOWS\system32\hacdbg32.exe
C:\WINDOWS\system32\hfjg.dll
C:\WINDOWS\system32\hgfhk.dll
C:\WINDOWS\system32\hjaiq.dll
C:\WINDOWS\system32\hkfgh.dll
C:\WINDOWS\system32\hktrre.dll
C:\WINDOWS\system32\ijatnaw.dll
C:\WINDOWS\system32\jdnems.exe
C:\WINDOWS\system32\jvvo.exe
C:\WINDOWS\system32\jvvo0.dll
C:\WINDOWS\system32\jvvo1.dll
C:\WINDOWS\system32\jwlah.dll
C:\WINDOWS\system32\jyjlt.dll
C:\WINDOWS\system32\jzijj.dll
C:\WINDOWS\system32\kavo.dll
C:\WINDOWS\system32\kavo.exe
C:\WINDOWS\system32\kavo0.dll
C:\WINDOWS\system32\kavo0.exe
C:\WINDOWS\system32\kavo1.dll
C:\WINDOWS\system32\kavo1.exe
C:\WINDOWS\system32\kavo2.dll
C:\WINDOWS\system32\kavo3.dll
C:\WINDOWS\system32\kavo4.dll
C:\WINDOWS\system32\kavo5.dll
C:\WINDOWS\system32\kavo6.dll
C:\WINDOWS\system32\kbdulzex.exe
C:\WINDOWS\system32\kduy.dll
C:\WINDOWS\system32\kpkdnwcb.dll
C:\WINDOWS\system32\kvfo2.exe
C:\WINDOWS\system32\kxvo.exe
C:\WINDOWS\system32\kxvo0.dll
C:\WINDOWS\system32\kxvo1.dll
C:\WINDOWS\system32\lariytrz.dll
C:\WINDOWS\system32\ldcdx.exe
C:\WINDOWS\system32\ldmprocs.exe
C:\WINDOWS\system32\libjqful.exe
C:\WINDOWS\system32\liscrts.exe
C:\WINDOWS\system32\lotushlp.dll
C:\WINDOWS\system32\mfsysnv.exe
C:\WINDOWS\system32\mgmgmm.dll
C:\WINDOWS\system32\mlljk.dll
C:\WINDOWS\system32\mmswr.exe
C:\WINDOWS\system32\mrjhtjd.dll
C:\WINDOWS\system32\msccsed.exe
C:\WINDOWS\system32\msgr.exe
C:\WINDOWS\system32\msmnsgr.exe
C:\WINDOWS\system32\msmsgr.exe
C:\WINDOWS\system32\msnfile.dll
C:\WINDOWS\system32\msngr.exe
C:\WINDOWS\system32\msnmsg.exe
C:\WINDOWS\system32\mydpri.dll
C:\WINDOWS\system32\netwsmlx.exe
C:\WINDOWS\system32\nhvnnetb.dll
C:\WINDOWS\system32\njritc.dll
C:\WINDOWS\system32\nmbgfadu.dll
C:\WINDOWS\system32\nwizdh.exe
C:\WINDOWS\system32\nxxperf.exe
C:\WINDOWS\system32\odfwbc19.dll
C:\WINDOWS\system32\odfwbc19.exe
C:\WINDOWS\system32\odfybc23.exe
C:\WINDOWS\system32\oqrthc.dll
C:\WINDOWS\system32\panmavic.dll
C:\WINDOWS\system32\pctools.exe
C:\WINDOWS\system32\pdll.dll
C:\WINDOWS\system32\pmnll.dll
C:\WINDOWS\system32\qhdoor0.dll
C:\WINDOWS\system32\qqdoor0.dll
C:\WINDOWS\system32\qrhhb.dll
C:\WINDOWS\system32\qrigjeoe.dll
C:\WINDOWS\system32\rdthr.dll
C:\WINDOWS\system32\regfxqzo.exe
C:\WINDOWS\system32\regstd.exe
C:\WINDOWS\system32\rgfjj.dll
C:\WINDOWS\system32\rgghjj.dll
C:\WINDOWS\system32\rhs.dll
C:\WINDOWS\system32\rundll.exe
C:\WINDOWS\system32\secjucvz.exe
C:\WINDOWS\system32\sedkeyss.exe
C:\WINDOWS\system32\sefawe.dll
C:\WINDOWS\system32\sehhter.dll
C:\WINDOWS\system32\serger.dll
C:\WINDOWS\system32\serghjm.dll
C:\WINDOWS\system32\servamc101.dll
C:\WINDOWS\system32\servamx101.exe
C:\WINDOWS\system32\setrhes.dll
C:\WINDOWS\system32\sewsol.exe
C:\WINDOWS\system32\shareb.exe
C:\WINDOWS\system32\shdosbei.exe
C:\WINDOWS\system32\smdlsset.exe
C:\WINDOWS\system32\sperls.dll
C:\WINDOWS\system32\ssqro.dll
C:\WINDOWS\system32\stehs.dll
C:\WINDOWS\system32\sthth.dll
C:\WINDOWS\system32\svch0st.exe
C:\WINDOWS\system32\svho.exe
C:\WINDOWS\system32\svohost.exe
C:\WINDOWS\system32\swfconf.exe
C:\WINDOWS\system32\syncmgr.exe
C:\WINDOWS\system32\sysc10trg.exe
C:\WINDOWS\system32\sysdajchv.dll
C:\WINDOWS\system32\syshos.exe
C:\WINDOWS\system32\systom.exe
C:\WINDOWS\system32\systvm.exe
C:\WINDOWS\system32\syswowavip.dll
C:\WINDOWS\system32\syswowct.dll
C:\WINDOWS\system32\tavo.dll
C:\WINDOWS\system32\tavo.exe
C:\WINDOWS\system32\tavo0.dll
C:\WINDOWS\system32\tavo0.exe
C:\WINDOWS\system32\tavo1.dll
C:\WINDOWS\system32\tavo1.exe
C:\WINDOWS\system32\tavo2.dll
C:\WINDOWS\system32\tavo3.dll
C:\WINDOWS\system32\tavo4.dll
C:\WINDOWS\system32\tavo5.dll
C:\WINDOWS\system32\thread.exe
C:\WINDOWS\system32\thsddh.dll
C:\WINDOWS\system32\thurh.dll
C:\WINDOWS\system32\tom.dll
C:\WINDOWS\system32\tskmans.exe
C:\WINDOWS\system32\ubs.exe
C:\WINDOWS\system32\ubz.dll
C:\WINDOWS\system32\uddews.exe
C:\WINDOWS\system32\usbmons.dll
C:\WINDOWS\system32\vccsrs.exe
C:\WINDOWS\system32\vpgr.exe
C:\WINDOWS\system32\wfhyt.dll
C:\WINDOWS\system32\wincab.sys
C:\WINDOWS\system32\winpows.exe
C:\WINDOWS\system32\wmem32.exe
C:\WINDOWS\system32\wmvconf.exe
C:\WINDOWS\system32\xbcvxb.dll
C:\WINDOWS\system32\xdfntt.dll
C:\WINDOWS\system32\xdhdg.dll
C:\WINDOWS\system32\xdndn.dll
C:\WINDOWS\system32\xfgnfx.dll
C:\WINDOWS\system32\xfgnhcgfm.dll
C:\WINDOWS\system32\xfgnxfn.dll
C:\WINDOWS\system32\xfng.dll
C:\WINDOWS\system32\xgnfn.dll
C:\WINDOWS\system32\xmlbwwfp.exe
C:\WINDOWS\system32\yayax.dll
C:\WINDOWS\system32\ydgn.dll
C:\WINDOWS\system32\yjccpobe.dll
C:\WINDOWS\system32\zdbdb.dll
C:\WINDOWS\system32\zdbfbd.dll
C:\WINDOWS\system32\zfdzb.dll
C:\WINDOWS\system32\ztdll.dll
C:\WINDOWS\system32\ztepri.dll
C:\WINDOWS\system\ace.dll
C:\WINDOWS\system\fly.exe
C:\WINDOWS\wincllie.exe
C:\WINDOWS\winpow32.dll
C:\alastart.exe
C:\auto.exe
C:\autorun.exe
C:\autorun.inf
C:\b.bat
C:\copetttt.com
C:\ddyikr.cmd
C:\f2ir.com
C:\hovrflst.bat
C:\kdy.cmd
C:\mmtpw22.bat
C:\msdos.bat
C:\ntdeiect.com
C:\ntdelect.com
C:\sos.exe
C:\temp.exe
C:\tmf3w3g0.com
C:\v3pif.bat
C:\windows.scr
C:\xadeiect.com

下列顯示，在執行此工具後，我的測試環境中的某些檔案被刪除了，應該是「誤判」：

[刪除服務]
NAME: NPF
DISPLAY: NetGroup Packet Filter Driver
FILE: system32\drivers\npf.sys

[刪除檔案]
C:\WINDOWS\system32\Packet.dll
C:\WINDOWS\system32\WanPacket.dll
C:\WINDOWS\system32\drivers\npf.sys
C:\WINDOWS\system32\wpcap.dll

我個人覺得此工具最扯的地方在於：

1. 在系統中，建立惡意程式常用名稱的目錄，而且，目錄屬性為隱藏，這不是跟惡意程式一樣嗎？如果使用者開啟「顯示所有檔案和資料夾」選項，不就嚇一跳。
2. 建立惡意程式常用名稱的目錄，就以為惡意程式無法成功地執行，趨勢科技真的認為是這樣嗎？

iClean解毒快手都可以寫成這樣，這是這麼大的公司寫出來的程式嗎？這也難怪，越來越多的客戶對趨勢科技越來越沒信心。

趨勢科技本身已經提供SIC和TSC(有用過的人，應該知道我再講什麼)，這些工具都蠻好用的(HijackThis真的蠻爛的)，只是沒有常常更新(尤其是TSC)，何必大費周章，做這樣的工具呢？

最後，如果各位已經使用過此工具，請各位發表看法，謝謝。