三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3660次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。( c6 p8 c9 g' _& X4 }
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
烦死人啦..边个高手快D来帮下我啊....救命啊!~
1 X4 Q: g; b) Y2 _) l: c- W0 u
0 r/ H( V& c3 i& x. j
详细情况：
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`: T; D- F9 z7 v/ o

1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序... h& C5 W" D* i5 c4 _! C- t; D' h* ]
注:这个_代表不同的数字,列如:bs3oi8kd4.exe, bs3oi8kd10.exe等
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..
2 N( j5 h0 b9 a$ Y
5.360顽固木马查杀也用过了,重启后又有...
! a, t. X2 q! ~8 A

搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:

这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。
4 H$ q6 p8 p% ?7 R8 Y) ^; ?0 E
1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。 6 a( J/ S, L5 o6 A" Y2 h
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。
3)创建SHALONG互斥体，并判断是否存在，存在则退出。 7 S$ Z+ I$ W. b, p6 H
4)将当前文件设置为隐藏和系统。
5)删除以下文件
c:\windows\system32\mfc71.dll 8 E0 ]( O& A8 H9 W
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll ; A$ e' k; `6 s" W* L8 Z+ [
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll ! y3 R& |' P; H8 [$ X& m  |  r
c:\windows\system32\drivers\etc\hosts、
c:\winnt\system32\drivers\etc\hosts。 6 c6 h' M: y/ C" o
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 6 V0 D7 O7 T! r+ O: e
7)将系统时间设置为2004年。 - A! }. J% D& j5 j" N
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f ' L+ P# h2 I7 L( Y1 T
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f 0 X: O# \0 O* R" D+ \
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f % U3 K7 V; }. t3 G* W
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f 3 \, w" d( Z9 }
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f 9 b  p5 a4 W! M- J+ k8 @; G: x; S$ Z
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f 7 F* j" p$ e; R6 s& x% c
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f & ], K! ~% m) ?
将这些文件设置为everyone完全控制。 0 Y* J. k+ Q! s+ R' h4 O
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 7 V; ?, n! j3 K: T+ k% _: Z; ^
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt.
12)搜索当前进程中是否含有以下进程，有了关闭。   M% c5 x2 R8 [
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe ; M6 ^5 e5 k+ y# l# w' J
13)关闭以下杀毒软件的服务。
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus 8 H4 y/ }! [' u6 e) t( c* K8 t: l5 l
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe % y% g7 I1 b' R
15)调用cmd.exe/cnet1startserver,开启server服务。 : k6 I  X( k. ]* I3 m, j& b& A6 C
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 0 X3 E% ~! b, X: l! C

到C:\ProgramFiles\ccd.pif

到C:\ProgramFiles\11.pif 3 K4 T3 u. m% i# x! A

到C:\ProgramFiles\22.pif , b8 N7 o. u" g& W$ H

到C:\ProgramFiles\33.pif

到C:\ProgramFiles\44.pif ) i+ _! F. ?; x, U& @7 y2 X

到C:\ProgramFiles\55pif

到C:\ProgramFiles\66.pif

到C:\ProgramFiles\77.pif

到C:\ProgramFiles\88.pif 6 T6 E& ]$ D2 r+ `* T C7 V) S

到C:\ProgramFiles\99.pif . i: X' l* C$ `3 j2 p B& ^- B

到C:\ProgramFiles\1010.pif , P! l& R7 Y' M( O* l" C

17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" # k: ?2 f+ Z( [8 Y
18)添加映像劫持
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 ^# U6 a; h& I8 ?4 u
\ImageFileExecutionOptions\360rpt.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safe.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' P5 u) _: z, D% ?2 K4 V
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 {4 A' I! O( D# G# l
\ImageFileExecutionOptions\360safebox.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 _- d) g8 }, N2 i
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360tray.EXE\debugger: 9 o, |1 D7 c& E* ]7 e! n
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ArSwp.EXE\debugger: 6 h: M( T( u/ [
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 K9 k3 k0 v, z& s9 \
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 M" T3 p! J. a) c# _2 L2 b
\ImageFileExecutionOptions\Ast.EXE\debugger: ) {- o# h8 O# q7 `2 J
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & ^* E. U  Y6 }5 R5 T* j6 b
\ImageFileExecutionOptions\AutoRun.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , S+ z  s% O& _4 x! e
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.COM\debugger: : W; @2 O0 S* @! ?9 w& n( C4 ]0 Y/ d
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   Q9 B4 e9 {* o9 A4 c& d3 W9 W. e
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.EXE\debugger: 5 A9 b, l* b0 P3 S2 T: D% w3 l" v
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 T4 A: C+ S8 s
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\CCenter.EXE\debugger: " G# u; j7 e1 a
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GFUpd.EXE\debugger: 5 x( @( s8 g9 f! F
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - Q1 l& q" a8 }% v) Q" Z* q4 P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   G" F8 \9 b7 C6 [0 i( x3 _
\ImageFileExecutionOptions\GuardField.EXE\debugger: : \' ?) n! l* }1 K3 D
"C:\WINDOWS\system32\dllcache\spoolsv.exe" # u- I: Z$ W  o2 `& L
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : `: G3 c9 K2 g+ G( p# L
\ImageFileExecutionOptions\HijackThis.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ R4 K3 ?9 Y5 T& [; H$ f
\ImageFileExecutionOptions\IceSword.EXE\debugger: 1 T$ c3 u* M$ P' y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , L0 N  e4 H+ a; N! D( @+ l
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . d5 b' s# {+ n+ w) L
\ImageFileExecutionOptions\KASARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' v! B# H% t6 p+ v+ }
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KAVPFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ! g9 w1 @# S9 s; n, J0 x' I2 y9 w
\ImageFileExecutionOptions\kavstart.EXE\debugger: 3 C8 c( N! L7 |1 b
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ! {/ R) @  e( Z( {6 z$ {& u/ F1 J
\ImageFileExecutionOptions\kissvc.EXE\debugger: ' U: [- Q; f2 C. ^1 e7 \
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 W: S; ?* n3 `* q* c& U( b7 g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kmailmon.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger: : K# L/ B1 T7 W1 M! B# J" l' C
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KRegEx.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " F( G& ^3 \7 ?9 S
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVWSC.EXE\debugger: ; I4 ^6 X! M8 H4 K2 e
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kwatch.EXE\debugger: & z9 @* \7 W. _" l1 R. V
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " E+ G1 L. m  c' V" w& }
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 U! i5 e1 G3 R+ R. {5 H
\ImageFileExecutionOptions\msconfig.EXE\debugger: 6 I. }1 A+ [# G! D" w2 i' i8 D
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & j4 d: p) f- }6 P0 J& v
\ImageFileExecutionOptions\Navapsvc.EXE\debugger: ; Q; B- D0 c( v0 w) a
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ E6 d/ s& I! `! q) u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ' X. z- O- l+ B' S
\ImageFileExecutionOptions\nod32krn.EXE\debugger: & ]! |* i0 W* z# ~, a
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 Q, E: c$ @- X, m# {* H6 a+ \
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: 8 |/ D9 [8 A: [9 X  d4 v  c0 y
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' c+ A& y' V, \7 E4 g# i; {
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + a  k5 t: k8 X! `6 H3 k) D: m
\ImageFileExecutionOptions\PFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\QQDoctor.EXE\debugger: $ w% T; P9 s7 n$ q  {2 {' \; F6 w1 O
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 C4 K  h8 Z1 y6 Z0 O* S( k6 Y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - [9 P& }# Q! }! ]" g, N  C
\ImageFileExecutionOptions\RAV.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ' @  K# Y+ j- y4 E& Z6 ]: F; |
\ImageFileExecutionOptions\RavStub.EXE\debugger: 9 p; D9 c  c4 x7 {0 X" ~8 ?4 N
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - e; ]3 f5 I- M" i6 j
\ImageFileExecutionOptions\Regedit.EXE\debugger: ( H3 z. H* h5 S( C( q7 H2 m2 }7 D5 C
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - L; Q3 n8 h# G- S% j
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , `& ?3 b; C5 |1 H; ]- c  Z$ a
\ImageFileExecutionOptions\rfwmain.EXE\debugger: # v7 L( ~6 @* x. c# z9 r. H
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwProxy.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwsrv.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , e6 k/ F% ]8 p# W% R* A1 g5 `
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwstub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RSTray.EXE\debugger: 1 ~# g9 {; @9 P) o
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 T1 o6 d5 i7 u) x( a) N7 L
\ImageFileExecutionOptions\Runiep.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * g+ g9 D3 \6 Y  T# ~* C% s' F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - B- e% [0 L) n4 u: A( N
\ImageFileExecutionOptions\safeboxTray.EXE\debugger: 5 X) C7 t" m. J, q; t* n
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: ' J5 j9 ?0 b/ R  m$ _& P
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) F) u- a. D! c7 W$ s3 F9 {- s
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + \- K- b( K/ x( a. T
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 u6 Q: c+ k. Y
\ImageFileExecutionOptions\Trojanwall.EXE\debugger: : n4 [9 v. B: G% g- \1 l% p# O& ~! G
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # Y3 ]8 b4 n+ i- z/ Q7 ~: ?, t
\ImageFileExecutionOptions\TrojDie.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 p9 w: P: g/ x! s9 r9 I# c0 R1 p, j
\ImageFileExecutionOptions\VPC32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 `6 G; A( U, |8 @/ w( `' r
\ImageFileExecutionOptions\VPTRAY.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & H/ `+ c. M& h6 G$ v
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: ! G  O: n, s0 f# u  K
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & a; T- \" n2 b* I
19)修改隐藏显示
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） : V2 W) H7 O5 Q9 R* Y
20)删除以下键值破坏安全模式。 , @) C4 K# i# _* }6 B! G2 z
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 : f4 Z+ `; j2 u8 T7 ~0 B
杀毒清理 srengworm 卡巴斯基超级巡警江民金山
Antivirusfirewall ; O1 ^% K. U% N* N+ z- N7 p  S
检测 mcafee 病毒防火墙主动防御 . N5 X( r5 q- U" K7 S  Y3 G
微点防御绿鹰木马瑞星进程 processnod32
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化 | g1 j; U8 w& M1 k/ @7 \8 l
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。0 \. j) |: O/ E8 C; H3 z
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

病毒现象% B- d: E0 I. [5 \
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。6 ~- }4 |7 h0 D" }! |0 v9 e! H
比如，运行Sreng时，会出现这个错误

3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。- u- E& O/ @) ~2 @5 a- z" Q& r
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。

5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复4 N, P! n2 v5 J. f- k7 H" Y0 A" ^
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。
传播方式' D! R; g) p1 _ G
1.通过U盘、移动硬盘的自动播放功能传播$ m) u& ~) c/ J5 {
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。

反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区' i: {0 K( q+ l8 @; [
使用System Repair Engineer扫描日志，将日志作为附件上传上来。0 Z1 b, T( B( C8 j7 h& F
下载页面：http://www.kztechs.com/sreng/download.html, S+ V( g% \6 v5 n, J/ r* }8 @
操作方法：
1、下载后解压缩，运行SREngPS.EXE；, U4 H$ X9 _* d% k7 H7 O; N4 A) m
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；) a, k5 \% p4 Q* u8 w7 G6 {' P
4、选择保存路径，文件名保持默认，直接点击【保存】；" ~# l5 z+ y! N
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；3 D1 J% _5 p1 e7 x8 Q9 i0 s/ D
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。0 e: W% u1 d- K; a
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!
" `4 u0 V4 K1 _: I4 U( o: \
用木马专杀进行全盘扫描杀毒，试试
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip 2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip 3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP