ridiap.exe Trojan:Win32/Agent.NAL木马删除

近来电脑的时间似乎出了点问题，一开机就年份就会变成1987年，时间和日期全都正确。觉得蹊跷，但是仍第一反应是BIOS。
断电重启后进入SETUP选项，发现BIOS时间并没有变，进入Windows后时间才变成1987年。
感觉是中了病毒，但是卡巴7、AVG却不报毒，且在网上下载了改变系统时间病毒的专杀程序，也没有用。
后来经搜索研究，确定此为木马，特征如下：

文件名称：ridiap[color=#FF0000]******[/color].exe（[color=#FF0000]******[/color]为格式类似于071205的表示年月的数字，下同）
文件大小：不定（更具网上多个版本对比，发现文件大小并不确定，MD5码也不一样）
DrWeb：Trojan.Hitpop.origin
Microsoft：Trojan:Win32/Agent.NAL
Ikarus：Trojan-Spy.Win32.Agent.pn
加壳方式：Upack V0.36
编写语言：Borland Delphi
病毒类型：后门

行为分析：
1、 释放病毒副本：
C:\Windows\ie.ini
C:\Windows\system32\mcdsrv16_[color=#FF0000]******[/color].dll  
C:\Windows\system32\mcdsrv32_[color=#FF0000]******[/color].dll  
C:\Windows\system32\ridiap[color=#FF0000]******[/color].exe  
2、添加注册表，开机启动：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
zsms = REG_SZ, “rundll32.exe C:\winnt\system32\mcdsrv16_[color=#FF0000]******[/color].dll start
3、其中ie.in记录着病毒的版本状况，并可能连接网络更新自身。
4、如发现RUNIEP.EXE、KRegEx.exe、KVXP.kxp、360tray.exe、avp.exe进程就调用ntsd命令强行关闭。
5、每隔几秒访问自己注册表项，如不在则重新生成。
6、修改系统年份为1987年。
7、调用rundll32.exe加载木马模块 c:\windows\system32\mcdsrv16_[color=#FF0000]******[/color].dll
8、注入IE进程 c:\windows\system32\mcdsrv16_[color=#FF0000]******[/color].dll
9、在[b]开始菜单[/b]，[b]所有程序[/b]，[b]启动[/b]项内增加word.lnk自启动项，并是不断检测，如被删除则重新生成。

解决方法：
[b]注：以下文件以mcdsrv16_20071205为他样本，具体文件名请根据命名规则自行分析[/b]
1、下载IceSword、Procss Explorer。
2、用IceSword删除[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
{zsms}{rundll32.exe C:\winnt\system32\mcdsrv16_071205.dll start}  [N/A]
3、打开Process Exlporer，选择iexplorer.exe进程，点属性，在线程选项卡里找到：
mcdsrv16_20071205.dll，将其终止。
4、用IceSword强制删除以下文件：
c:\windows\system32\mcdsrv16_20071205.dll
c:\windows\system32\mcdsrv32_20071205.dll
C:\WINDOWS\system32\ridiap20071205.exe
C:\Documents and Settings\All Users\「开始」菜单\程序\启动\word.lnk
5、检查上面提到过的文件和注册表键值，确定未再生成，重启。
6、使用杀毒软件进行全盘扫描。

Process Explorer
下载地址：http://www.onlinedown.net/soft/31805.htm

或者使用IceSword亦可。
下载地址：http://www.peuol.com/blog/attachment/IceSword_1.20.zip