三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3656次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
烦死人啦..边个高手快D来帮下我啊....救命啊!~: D/ ~# M6 D3 W2 f& V; P# _

详细情况：
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`

1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。# `" V) g' O4 p& h! P
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..! p( G2 [1 w( o* {3 L
注:这个_代表不同的数字,列如:bs3oi8kd4.exe, bs3oi8kd10.exe等2 `$ C. g- S; [9 r$ N' x4 T
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..
% S; B- b: ?$ v
5.360顽固木马查杀也用过了,重启后又有...
" J7 J6 `/ { d$ u' V

搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为: ' {4 d! H" x* W5 W* z
" Z/ R3 x5 Y5 y1 k3 c. z: @
这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。
- ^& _9 m" L8 V' Y$ q
1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。 9 o/ {! q! ?2 W: m
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。
3)创建SHALONG互斥体，并判断是否存在，存在则退出。 - i* X/ K; |2 ^& g6 l" y  ^
4)将当前文件设置为隐藏和系统。
5)删除以下文件
c:\windows\system32\mfc71.dll 3 i5 x3 m8 y, Q8 x$ A
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll + I! G7 P0 A  p9 l  K7 G
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
c:\windows\system32\drivers\etc\hosts、 : r4 }2 L! c  `9 G/ w
c:\winnt\system32\drivers\etc\hosts。 / p, L1 B1 W( w& @
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 / o6 F- o$ h! e+ O- ^
7)将系统时间设置为2004年。 1 m3 L8 D) M& b$ z2 {, S4 u
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f 1 W1 P7 V4 ~$ h" o9 x- k
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f 9 ^# A$ Q8 }2 f, Y# U/ M: m
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f " o: f, @# l. U, x" R
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f : d2 |# |: a* ]5 P8 u* D
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f . H! M" h, g) M' h. E; Y
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f # x+ N+ y3 g) F9 ^0 R: s
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f
将这些文件设置为everyone完全控制。   X( T5 [; j+ `/ V0 J( K
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。 6 N& w- d( I) V( b' J
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. $ c# |  E' _4 L$ L$ y$ T, j: q
12)搜索当前进程中是否含有以下进程，有了关闭。 9 p' A  p1 a4 M' z5 L
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe
13)关闭以下杀毒软件的服务。 4 Y- }8 p8 F- _1 ~9 Z. J
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe 6 ?3 s! @# ]2 P; G: e0 D
15)调用cmd.exe/cnet1startserver,开启server服务。
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll - a, M! |& y1 R+ k4 a+ U4 d
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 # O' W: o# T; k. x

到C:\ProgramFiles\ccd.pif @! Z5 r0 i( T! {' A0 \

到C:\ProgramFiles\11.pif

到C:\ProgramFiles\22.pif : e# R0 K' f7 k1 u

到C:\ProgramFiles\33.pif

到C:\ProgramFiles\44.pif

到C:\ProgramFiles\55pif 8 e5 O; Y; M* u1 a' o

到C:\ProgramFiles\66.pif + z7 l) t& t. p# {7 C

到C:\ProgramFiles\77.pif + ^" B" i( W) ~% x5 Q, a' @

到C:\ProgramFiles\88.pif : N& ]+ l* a! a6 ^/ [

到C:\ProgramFiles\99.pif

到C:\ProgramFiles\1010.pif
- w% i* L0 o& y: J
17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" ' e+ N( C* H  `
18)添加映像劫持 / m1 m( l+ r2 y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # K& r9 e4 l3 P3 U' y
\ImageFileExecutionOptions\360rpt.EXE\debugger: 8 [) @+ ^7 z/ G  z9 B& q) {
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . w& a3 d2 a( I  `( O
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 o2 J& c0 u( B4 B
\ImageFileExecutionOptions\360safe.EXE\debugger: 2 k0 j6 P# s3 i; L; y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . ?( P7 b$ p" m
\ImageFileExecutionOptions\360safebox.EXE\debugger: : z" C7 a  n9 R# z5 \- p
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * ^; R  S  E  V& W4 c
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * _( o, a+ e3 l# o6 B7 J0 x; }$ A
\ImageFileExecutionOptions\360tray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 U+ Y2 O  m0 y9 H, _
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 g" y# p6 U- R3 g; V1 J
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ArSwp.EXE\debugger: # j7 o4 l5 T4 r9 x7 e& ]8 Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # V/ u7 T  I1 q1 R( ^# S' B
\ImageFileExecutionOptions\Ast.EXE\debugger: ) @; _0 c5 w1 d7 X/ j# m
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 r3 Y" V! j$ q1 v) [  s+ r- q; _
\ImageFileExecutionOptions\AutoRun.EXE\debugger: ( }, V  C5 c" J9 a9 x. _% x
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; R5 w3 }$ y" q# x+ w; K( A/ w
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 4 W/ q  g5 g. X& f) u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) W% J; g/ G2 p# P( d
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.COM\debugger: & D4 C0 }6 g5 b. P* _3 {; ]+ b
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : h2 _' p& l: W+ b, o
\ImageFileExecutionOptions\AVP.EXE\debugger: ' c' a0 ?6 Y8 o6 f7 p
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 X* X; f2 K6 V+ A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\CCenter.EXE\debugger: & E" p- @0 e' Q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; L% j% p" J' s: J* K, |
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger: * ]0 k4 ?' q4 h8 t# N
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GFUpd.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " A3 O! ]/ K" }: Y4 {& t8 ]
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + o6 ?% @- D, e8 ]% V6 K3 C* _/ J
\ImageFileExecutionOptions\GuardField.EXE\debugger: / B/ Z( S/ ]3 A& V0 j+ m
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # H, j; a3 [  t. S
\ImageFileExecutionOptions\HijackThis.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 L' W9 q/ t7 G  {& h6 ]; `
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 q8 Y8 W9 F! _* d+ A
\ImageFileExecutionOptions\IceSword.EXE\debugger:   e. c$ A% p, m  U1 O  G
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & w4 _' u, `* x1 l
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 S/ f, F$ Y: T5 @; ^
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - C3 y, t3 o' i2 l" ]+ {" x9 |8 q
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; G4 s. U. g4 o8 A1 q8 T
\ImageFileExecutionOptions\KASARP.EXE\debugger: 7 P$ a2 m% P/ |
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ g4 y: _3 T+ c, Y2 R; b6 Q% _6 W. M2 h
\ImageFileExecutionOptions\KAVPFW.EXE\debugger: 3 }! U# l, v3 S
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) c2 w, a0 Z, \; a- ]
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ! y4 s9 S0 x% L" d3 o6 t5 ?$ i7 d
\ImageFileExecutionOptions\kavstart.EXE\debugger: 0 L, J$ S4 N0 M% W3 \- y% l% o2 ?4 H
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kissvc.EXE\debugger: 2 j/ g" F3 V+ I2 A7 |) ~7 p3 Y* ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + I) c6 w( Z4 c' L, Y
\ImageFileExecutionOptions\kmailmon.EXE\debugger: ) m4 v( W! L% i3 Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KRegEx.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , y9 v) ?9 f: O  D. C9 m
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger: : h' L$ `  g1 L/ u. l* \1 n
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % H4 G9 z' @3 D# p  i% Q; _7 X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 U1 U5 Z4 U  ?
\ImageFileExecutionOptions\KVWSC.EXE\debugger: * o- @4 a8 y7 W( O$ c
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' ~6 \$ V# Y1 r& S& X0 G& A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kwatch.EXE\debugger: 5 |( f( D8 F8 r9 n/ [
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\msconfig.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' e2 y( a7 J! |. G4 ~, d' e, Y$ O* C; Q
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Navapsvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 x) L! w* O. k! R3 j
\ImageFileExecutionOptions\nod32krn.EXE\debugger: + ?0 c2 x: f9 `) d" P2 ^
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ x3 F4 p" \8 R) J1 `3 k
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Nod32kui.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 {$ N  u; a1 ^" O3 @6 k: G
\ImageFileExecutionOptions\PFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ! K% J2 _3 S3 P, ~; @6 X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\QQDoctor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' Z' q: \$ f1 Q: `( I/ J
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , y9 Q) I- ]# Q+ s
\ImageFileExecutionOptions\RAV.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RavStub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 4 }# K( X- c' u; f: F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Regedit.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' a% C) b- a8 m9 s, C3 a6 N
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 n$ j5 u: e- f! U, ?4 M
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwProxy.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 g8 V# k# Q8 r4 _2 y. I4 Y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwsrv.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * _4 O8 |6 H' W* ~7 |' M
\ImageFileExecutionOptions\rfwstub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " Y3 K+ q9 Y1 V% [. A' l0 P/ j( Z
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RSTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - w! _! I% Q, V6 Z
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Runiep.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 M2 [( I" K3 ~9 @! f  Y0 t# z$ o! z0 ]9 I( V
\ImageFileExecutionOptions\safeboxTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 8 K- W8 N$ u' _9 w# s( U$ o
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , H. x( L( e% D% d' J, X) b
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: - M2 C. G- B& X$ A1 E1 b
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + Z3 t; A! R, E
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger: : a& _# f% L, x' s$ W# c
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 [8 _' K" A0 @9 R7 R; X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   m) F; d6 c5 X7 X
\ImageFileExecutionOptions\Trojanwall.EXE\debugger: % r) P+ \! i/ s  F, m
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / {# S+ b+ H, p
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " s/ X& J8 R# s; B
\ImageFileExecutionOptions\TrojDie.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 k" E6 t( f& m" G3 M
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 G- P2 M7 b. }( E' H/ Q
\ImageFileExecutionOptions\VPC32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + ]: Y+ h+ b1 u5 O6 S
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPTRAY.EXE\debugger: " M+ m* k7 W, P. B4 r: ^3 L% H) _
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . }& J2 p$ u7 \' W* ]( ^
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 ~! }, B9 I$ ]0 S7 X
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: # h. ^7 k5 {- w5 K
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
19)修改隐藏显示
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） 6 `" G% Z6 b  N+ C; U
20)删除以下键值破坏安全模式。 7 J2 T3 \. {. n
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 6 X! j% C3 i; v4 k* v
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 1 ^9 n  y' y; ^, o9 t/ r& P
杀毒清理 srengworm 卡巴斯基超级巡警江民金山 ( r1 j, [& w4 P4 v
Antivirusfirewall % a9 j5 g! W: K3 j+ L
检测 mcafee 病毒防火墙主动防御
微点防御绿鹰木马瑞星进程 processnod32 2 ^2 Z2 x! y+ C7 g# F8 U- l
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化5 `, i9 }( R7 {0 w- e; }1 B
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。2 p5 l; J. P# I9 `7 c9 v
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

6 m9 `/ }' h7 A
$ I& B; Y7 c/ D6 ]6 w# [
病毒现象
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。1 R2 h) k, D( y( }
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。- p8 x" m& ]7 C* _$ }7 Y% ]
比如，运行Sreng时，会出现这个错误% f! c; Z3 Y2 r. N
1 b; s& ^7 \1 }, D
3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。& ]8 Q" n6 g) y& T3 W- M+ `( J+ l
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。

5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复& Z$ Z; R( K1 T5 a) Q: ?$ w0 A! _
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。, `( d* Z) |$ a+ z
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。, Z, p! u/ W4 ?; z# S0 G
传播方式
1.通过U盘、移动硬盘的自动播放功能传播 V* b5 c4 F- B9 s) L6 U
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。' C. s5 a7 i6 N. \

反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区
使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：3 j' ]/ a6 {8 ?! L) O" [
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；" Y3 C& j) v$ \* |$ @$ b
4、选择保存路径，文件名保持默认，直接点击【保存】；1 R2 w. w5 ]3 r& B3 H
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；5 ^# N9 p- V5 y8 h+ b9 c
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!

用木马专杀进行全盘扫描杀毒，试试
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip 2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip 3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP