三乡网_In-Cool - Powered by Discuz! Board

标题: 急！高手来救命！电脑中毒了！ [打印本页]

作者: wawa3038 时间: 2009-9-29 02:26 标题: 急！高手来救命！电脑中毒了！

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。: s# \( h5 x  e$ ?, A7 _! H) ^
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
烦死人啦..边个高手快D来帮下我啊....救命啊!~" ]. y, P0 E( y( Z* `
; t( P' t( b5 s4 _* @0 K
, j5 W* R+ Z: P2 a6 p" v
详细情况：
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`
% r) m9 h% ?; u# a4 b
1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。3 [# S; ?4 i- B
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,       bs3oi8kd10.exe等$ H: Q- ^% p* o, n; P
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..& l# z0 ]  @- N

5.360顽固木马查杀也用过了,重启后又有...3 O9 K# n8 P: n

8 u' Y( k0 N9 P0 }- j/ G! [5 F+ r
搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

作者: 7情小渔兒 时间: 2009-9-29 08:22 标题: 回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:

这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。

1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。
3)创建SHALONG互斥体，并判断是否存在，存在则退出。
4)将当前文件设置为隐藏和系统。 2 p" ]! j( [4 g
5)删除以下文件
c:\windows\system32\mfc71.dll
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll 7 C/ D$ R) P( o* \1 z) t% l
c:\windows\system32\drivers\etc\hosts、 2 A( `' O  P1 n8 k/ G+ D& [& S/ C
c:\winnt\system32\drivers\etc\hosts。
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 ; D) t9 t: V0 O9 v6 r) X( A. u
7)将系统时间设置为2004年。
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f & I: {  J  H2 Y* z  j3 I. D) [( f
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f ! e& k% @' O; J
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f # z5 ]0 {- ^" E6 H
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f 3 P  g( v2 j) @# @0 u* d3 Z
将这些文件设置为everyone完全控制。 1 U4 C$ S( m3 \/ _; f; G/ Z! x
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 * c9 B8 N4 C* A. Z* j/ {
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. 5 R1 w7 |4 k' A( ^" [9 s5 Q  w
12)搜索当前进程中是否含有以下进程，有了关闭。
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe 8 z  T( B: {) Z8 K0 g
13)关闭以下杀毒软件的服务。 0 E6 i% H1 m( Z! y, t
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus ! z7 C& U* b( t$ Q% p% t0 D
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess . T: j, Q$ B0 P
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe 9 j$ @8 |( n+ Y5 F% J
15)调用cmd.exe/cnet1startserver,开启server服务。
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll # f$ g4 I7 K  v
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。

到C:\ProgramFiles\ccd.pif

到C:\ProgramFiles\11.pif 2 b' s; K7 }; u7 [

到C:\ProgramFiles\22.pif # ^9 W) c9 E* C7 t) F+ B: D

到C:\ProgramFiles\33.pif & l( [4 f7 S, a3 \# g6 e% p; K

到C:\ProgramFiles\44.pif ( [: V4 X, s1 P& |4 n

到C:\ProgramFiles\55pif

到C:\ProgramFiles\66.pif

到C:\ProgramFiles\77.pif ' S+ Y4 D; I2 ?. H5 D8 m

到C:\ProgramFiles\88.pif 5 a$ s& D8 w0 Q/ p/ j4 l2 R `

到C:\ProgramFiles\99.pif / A( l9 o, M& g' Z6 P

到C:\ProgramFiles\1010.pif
- _% ?! C. n( I/ Z2 z* m5 _
17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" 3 Y0 A0 I0 W% K( G2 N1 P
18)添加映像劫持 . E; K7 D6 I+ u9 c/ a
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 p" B- b9 w( ?8 ?1 x5 u
\ImageFileExecutionOptions\360rpt.EXE\debugger: : T' i: A2 b* z$ f. v7 p3 D
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   P$ T; [3 q8 r; l' m6 z4 z3 N
\ImageFileExecutionOptions\360safe.EXE\debugger: / E3 Q# R2 m& t" C6 M" D/ _1 C1 ~
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safebox.EXE\debugger: ( v1 w4 T  M' Z4 X7 v' T
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & g1 G: r& T3 S8 b9 Q# C  y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360tray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ F* @/ J: w/ I; s, e
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ArSwp.EXE\debugger: 6 r, w- i: I+ W% e1 n0 \' l! \# o7 O
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 H$ m. \2 d# F- n6 ~$ S
\ImageFileExecutionOptions\Ast.EXE\debugger: . U5 ~2 W, s, e4 v. n0 c) r* @
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + t4 g0 V: G$ E, Y( M" ?/ x
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRun.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: " b, L1 _: E& P% S5 [) l( \+ o
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % h# T( b* S: M# i
\ImageFileExecutionOptions\AvMonitor.EXE\debugger: % L9 G5 m7 i7 n" [
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 g! a! }; g6 u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.COM\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 f# ~& Q$ ^5 W8 C& N9 F* i  H4 P
\ImageFileExecutionOptions\AVP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion / }7 s+ S3 E3 r$ I2 h
\ImageFileExecutionOptions\CCenter.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & A3 ?$ I$ C" k" d7 e
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . J  |$ {7 A9 u% i2 d
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ) K3 }4 G0 T( J, A. e' }; J0 S5 ]
\ImageFileExecutionOptions\GFUpd.EXE\debugger: 7 o3 d7 N- [( w* w
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) w9 G! A1 m9 @+ o6 j; `
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GuardField.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # R; R$ A" A4 ]4 d
\ImageFileExecutionOptions\HijackThis.EXE\debugger: & {4 c( l/ H5 P$ c6 q9 d
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 A4 A! ?  G8 B' {
\ImageFileExecutionOptions\IceSword.EXE\debugger: ! f; F  v6 b. \( l3 }6 c$ e9 \; ?0 ^' Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 M, l: H6 v% E+ i; i/ n) S
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * i) ]6 p& e4 y: u/ y3 }
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KASARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger: ! G$ C8 u2 {+ S% t/ ^: ^: |
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * j, t! D& P4 |
\ImageFileExecutionOptions\KAVPFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 F) @% f- W7 ?, e
\ImageFileExecutionOptions\kavstart.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % B' ~+ g( y) L4 s/ M- ?
\ImageFileExecutionOptions\kissvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 ]% {2 w9 d, k2 I  z, d
\ImageFileExecutionOptions\kmailmon.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 e7 c, P- |$ H. V3 \$ ?3 B1 {
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger: 6 ?0 S6 T% l- S  F) {8 l# \
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 o( o2 `! l1 d" |
\ImageFileExecutionOptions\KRegEx.EXE\debugger: % f- G4 t8 i- c- _9 `& o( a
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVMonxp.KXP\debugger: & `1 G8 j) |3 c5 w% J% [. r" T' D
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 w0 _. {5 u0 L3 u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) _9 X; ]2 Q7 N- L+ l+ [
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVWSC.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . M% V- A. ~# P! P. q/ n5 W
\ImageFileExecutionOptions\kwatch.EXE\debugger: 4 T: {4 c! R( R2 H0 @6 d. E
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 8 u& k: A* ~/ j2 v! u$ z3 n2 O3 a
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 S6 Q  ^$ b. O
\ImageFileExecutionOptions\Mmsk.EXE\debugger: 1 S- u9 n* B, ^. D( `  s
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion / [2 [- u6 f+ s
\ImageFileExecutionOptions\msconfig.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 p) X& ?, w" S+ I5 K% w
\ImageFileExecutionOptions\Navapsvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\nod32krn.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Nod32kui.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' H5 p: R; @0 E* Z
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\PFW.EXE\debugger: 1 G* H8 }( H+ M' x/ O
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + M* D! Q4 Z8 b
\ImageFileExecutionOptions\QQDoctor.EXE\debugger: ! I3 B( H" l0 T1 e+ }! s
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " n; f. \; S- p
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ! g9 J& y; n) b( z
\ImageFileExecutionOptions\RAV.EXE\debugger: / ]: |: A4 a. H$ b) D' M6 U/ A
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RavStub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 r2 c! _. A( v9 q+ ]3 R. m4 i' ~8 b5 G
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 G$ q9 `+ S3 j+ U3 r7 ~  `
\ImageFileExecutionOptions\Regedit.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 |, i* r. H1 j5 [$ f3 R
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwmain.EXE\debugger: / w& t: G6 @3 G, m) R0 j
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - X) b- W: k5 n- c# g! A, O
\ImageFileExecutionOptions\rfwProxy.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( ^) r4 X  j" i3 P! h
\ImageFileExecutionOptions\rfwsrv.EXE\debugger: + J9 k' ^% Y4 j8 F+ L7 A) i
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwstub.EXE\debugger: & `1 a9 U2 N3 m' t+ }
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RSTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 e( y+ W  N. _6 d* s+ w
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Runiep.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / G2 G* x4 O9 c. p$ I' v
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * X% e  ?2 j$ @  a
\ImageFileExecutionOptions\safeboxTray.EXE\debugger: : ]# `+ s1 _! B" L5 P
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , H* s& R8 q1 O6 O
\ImageFileExecutionOptions\SREngLdr.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 U, X8 S+ ?! J8 t! a
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 J9 ^+ T4 g, W$ W9 s" P
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Trojanwall.EXE\debugger: 1 v/ d9 O% e4 _; I5 `; R
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( u3 F3 @$ F) x1 j& s' d" B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 ~( ]- x6 J6 G% T; l8 V3 Q
\ImageFileExecutionOptions\TrojDie.KXP\debugger: * ]( U- l7 _9 U% |+ {# g
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : o  ?9 m4 q2 S9 M( G. f( G
\ImageFileExecutionOptions\VPC32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 E4 X9 W* y. c) U2 `( T
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ) J7 Z. [3 U( y+ d& d+ h
\ImageFileExecutionOptions\VPTRAY.EXE\debugger: , ?- z+ V3 U: v0 l% v
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 d5 j; f, Q4 p$ y* J
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) E' D: V- _& p& x0 U! x" D) T
19)修改隐藏显示 5 u! W4 ?" |8 i# M/ H
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示）
20)删除以下键值破坏安全模式。 ( X- g; _! F, i4 A! Y
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" , j( V1 n0 x, I2 _! b
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" ; g4 n7 b& K( b4 E+ @7 S% m
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 0 p4 W7 A3 E1 }9 ^. G5 ]2 L
杀毒清理 srengworm 卡巴斯基超级巡警江民金山 : r0 j7 b5 m) l2 z9 k/ b* X  q
Antivirusfirewall
检测 mcafee 病毒防火墙主动防御 ( a+ H& {7 T0 @& w0 l( F! w
微点防御绿鹰木马瑞星进程 processnod32
专杀安全卫士

作者: jiazi 时间: 2009-9-29 08:28

进入DOS杀毒..再重装系统.~~~

作者: XiNg 时间: 2009-9-29 09:01 标题: 回复 1楼 wawa3038 的帖子

直接全盘格式化
重要文件都拉唔到

作者: wawa3038 时间: 2009-9-29 10:17

唉！~算啦。。。无救了。。。

作者: wawa3038 时间: 2009-9-29 10:19 标题: 回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

作者: wawa3038 时间: 2009-9-29 10:22 标题: 回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。6 z' C8 r% k1 u7 f" u5 i
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。
无奈。。。

作者: 7情小渔兒 时间: 2009-9-29 11:34 标题: 回复 7楼 wawa3038 的帖子

% Q) i* w; @7 k  I" U! J& ~
病毒现象- H  _1 X1 T* K* B3 J" G9 u
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。
比如，运行Sreng时，会出现这个错误! ?7 x% Z0 M" b7 C% o7 T/ f

3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
9 I% O# M( E3 F  f
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复; n1 Q+ R- p" S9 n- J% r
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。2 z$ ?+ N/ e: B, ]% `8 R3 L2 b" [
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。# l; P2 O8 @6 t6 u# j* R4 e
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。
传播方式6 n" o+ [) h/ o" T) n3 u6 U2 n" w
1.通过U盘、移动硬盘的自动播放功能传播( e  v% s) u, a8 I, A
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。$ a) O9 I& f1 x! N+ ^" d9 h

反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区
使用System Repair Engineer扫描日志，将日志作为附件上传上来。. V- L7 Y, Y* `6 P
下载页面：http://www.kztechs.com/sreng/download.html, S1 g2 N- ^+ L$ u: K
操作方法：0 P! f- y% x# e
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；1 f; v2 c$ M$ U% E: e
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；: h* A, M9 F9 A1 u
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。. I2 I7 M3 j* w& `/ P9 f) p
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序 7 Y; o$ @* o! G

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!

用木马专杀进行全盘扫描杀毒，试试2 Y5 U; I  k5 B6 ]0 S, G7 @# R
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

作者: jiazi 时间: 2009-9-29 12:17 标题: 回复 6楼 wawa3038 的帖子

你去下载个新嘅DOS杀毒包,刻成光盘.一定杀到,,,

作者: VTX 时间: 2009-9-29 19:20

你用木马克星之类的木马软件杀啦。。。: U% B$ m. d7 s( Y6 P
依家D病毒告杀软系靠吾住咖。。。我系手动杀嘅。。但系我依家部脑系吾会中毒的。。。因为我依家吾用杀软。。。而用左第二样野。。。

作者: wawa3038 时间: 2009-9-30 12:24 标题: 回复 10楼 VTX 的帖子

足足搞佐3日啊,终于搞掂了。。( g; T( b0 M0 m( Q2 W
遇到个甘既野病毒真系10年难得一遇啊！" z j9 s: `# e
咩可以用既都几乎用上啦，最后都系手动将所有.exe文件都删晒。。。所有资料最后只剩下7G既歌和3G既相片，悲哀啊。。。( R8 Y3 a! P2 G" y9 E0 S
7 C: w. N: D& G( F3 a1 z
系呢，有个问题想问下。
我硬盘系160G的，之前分区系C::20、D:30、E:30、F:40、G:40
虽然160G只系用到150几G左右，但吾知点解哩次中毒后居然少佐成10G。。。宜家硬盘总显示系150G
硬盘一共分佐5个盘，除佐D盘无格式化外，其余4个盘都格式化过，C盘无重新分区，其余3个盘重新分过区。。' V! I( m3 e6 ~0 ]. [" B
但最后发现个硬盘总存量少佐10G.
请问个10G去佐边呢？点可以稳翻出来？

作者: VTX 时间: 2009-9-30 18:17 标题: 回复 11楼 wawa3038 的帖子

無格式化的盤你試一下用fdisck /f 命令掃描一下。。。掃描完應該D空間會出翻來。。。但系160G一般都系吾足的。。。

欢迎光临三乡网_In-Cool (http://www.in-cool.net/bbs/)