三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3698次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。8 C% c$ }0 B7 j
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....- |& Z% O4 B" @" f$ v, v
烦死人啦..边个高手快D来帮下我啊....救命啊!~* I+ {0 O4 |& F) V1 v5 l0 t- j6 B
4 q3 k  q& m3 \" }- @. E1 o
+ P, u; K0 b) |8 A2 c
详细情况：1 B, l7 |8 c8 }' z( P" b
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`

1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序../ W% e2 V2 O3 \8 g' c) B* [# o& @
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,       bs3oi8kd10.exe等
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...4 ~+ G( j) w& Q7 y1 X$ y' y
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..

5.360顽固木马查杀也用过了,重启后又有...& l$ r: o2 E$ O9 W5 ?: \% X  K
3 |/ _. r  F& c; \! v" v# l

搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:

这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 % k5 W9 X8 J& N! S
: O& P( c, t6 d  T. s
1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。 . n) l3 {5 j  ^
3)创建SHALONG互斥体，并判断是否存在，存在则退出。 7 J, }. Y( c. `3 u
4)将当前文件设置为隐藏和系统。 - s8 ?/ d7 }4 B8 b" p. B* v% \
5)删除以下文件
c:\windows\system32\mfc71.dll
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll ) ]$ m" R: v4 c  T
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll 6 F' ~# s7 L8 E- O7 I8 X
c:\windows\system32\drivers\etc\hosts、 & X7 v4 t3 R0 X; [5 V' a/ |
c:\winnt\system32\drivers\etc\hosts。 ( T8 w7 n& V3 R" }3 V+ T. {$ h
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 # f; f- {1 d4 U& ?) K
7)将系统时间设置为2004年。
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f 3 a! _3 p5 h  q: N" \: d
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f & ~2 n$ j; T' m1 u
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f - [3 j. M, g, _! B" c: i/ S1 L/ Q
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f 9 V3 f+ R3 L& J1 H
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f 0 j" G# z" W3 w. n0 M; ^9 x
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f 5 _( k/ a/ w5 {, L$ X1 ~
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f
将这些文件设置为everyone完全控制。 6 \$ B/ @* }# W. F3 [0 M
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。 9 L5 ]# i9 d2 I
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 # |; J# o6 y. _4 A9 U
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt.
12)搜索当前进程中是否含有以下进程，有了关闭。
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe
13)关闭以下杀毒软件的服务。
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus 7 x; {( {  ?( \) @, G
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess . G0 j- F' M( G
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe
15)调用cmd.exe/cnet1startserver,开启server服务。
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 4 t. j5 \9 X0 n* A

到C:\ProgramFiles\ccd.pif 0 ?1 ~/ r4 A" i

到C:\ProgramFiles\11.pif

到C:\ProgramFiles\22.pif

到C:\ProgramFiles\33.pif 2 u6 Y8 |2 H7 X/ `# x4 H

到C:\ProgramFiles\44.pif

到C:\ProgramFiles\55pif

到C:\ProgramFiles\66.pif % V+ ^8 o7 c- a/ r; m

到C:\ProgramFiles\77.pif

到C:\ProgramFiles\88.pif 6 o# A J3 l* s0 d

到C:\ProgramFiles\99.pif , D# A$ U3 H, s

到C:\ProgramFiles\1010.pif

17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" . |1 |& O% c' y3 ?$ p9 z
18)添加映像劫持
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 O# f5 d, R' Z
\ImageFileExecutionOptions\360rpt.EXE\debugger: ' z. P7 h) z$ s5 y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # T4 q5 f  I* x9 s
\ImageFileExecutionOptions\360safe.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( X( t1 P5 h9 ^# I( S( e( Q$ j
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safebox.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   J, ^6 P/ K3 l9 k4 ]
\ImageFileExecutionOptions\360tray.EXE\debugger: . k- m9 U! x, @5 ^) _. C/ M/ s
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ANTIARP.EXE\debugger: & U" ~( E+ a& q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " J" C2 l. X$ w) u) o
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ArSwp.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Ast.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 [  {! }* @1 S. B( V' t. s
\ImageFileExecutionOptions\AutoRun.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: ! i, U% f7 _0 _+ I6 j- }6 i! f' |$ a
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % f9 ~" g( q( \- y, Q) R% q$ h  m. H
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.COM\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" # b! n6 r3 b( A; N6 g- L) K# Q; p5 v/ V
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.EXE\debugger:   W! Y& v. J: W- k; h# U' d+ |
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\CCenter.EXE\debugger: 0 X* ]) C7 y: w) @7 U
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion / j2 f$ T1 T3 c0 a$ J
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GFUpd.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 j( t1 ~9 i3 x7 D; `$ P3 a" K
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GuardField.EXE\debugger: ( }5 F9 C* J) p+ Y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\HijackThis.EXE\debugger: 8 n4 ?. t, D* m, ?' n, E$ l4 [/ Y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   d$ r: b8 ^) x, ~) B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + a1 q0 a6 R5 O
\ImageFileExecutionOptions\IceSword.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % y: V9 m/ p8 ^; G8 k5 {
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KASARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - }( g& k0 u) i- s
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KAVPFW.EXE\debugger:   P3 [  o9 q  w4 P' r$ ~
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 Y% u% l& Q  U  }
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kavstart.EXE\debugger: / Z! R8 o- ]; [3 M$ K* O
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + K, I( b7 b6 }1 V6 v
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 O0 {5 U+ t' @4 R& o
\ImageFileExecutionOptions\kissvc.EXE\debugger: + t9 H- d' l5 G! O' `) a) o- |
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( N* n) H+ ?; a6 f% l! u
\ImageFileExecutionOptions\kmailmon.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 y+ P0 D! U4 M( Y7 h% [, o
\ImageFileExecutionOptions\KRegEx.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - f" ^/ h! k6 D4 Y. F( F' G
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger: . U" A: {9 h( ^, n
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVWSC.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( \- l/ r0 o" s# [% J
\ImageFileExecutionOptions\kwatch.EXE\debugger: % r$ t& z/ h6 ~+ r, y" D3 u$ G* s
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( $ d& D( R4 h$ G: $ p, \" N
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 f+ N5 ^! G4 h; ~! l1 o7 x6 ]
\ImageFileExecutionOptions\Mmsk.EXE\debugger:   w4 k; m% q0 V% B* ]
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ ]+ x: @( @* {+ k- r( H
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\msconfig.EXE\debugger: , z$ ^/ ^( x8 z/ [% ]; F8 x
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Navapsvc.EXE\debugger: . ?; ]$ M0 i" B( t' K7 f. D
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) A  `' t5 u% Y7 X: R! p4 U
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ) P7 K' t( J4 w8 l! c, T( r
\ImageFileExecutionOptions\nod32krn.EXE\debugger: 9 j. n( Q$ S  w6 Z/ S% [  w  D8 N
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: $ P# t$ m- H% P. B) C$ Y% T5 G
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\PFW.EXE\debugger: / k2 P( p* {$ u6 k2 z5 x
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\QQDoctor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 p/ H3 G4 |0 \, x
\ImageFileExecutionOptions\RAV.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RavStub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Regedit.EXE\debugger: : _4 U0 o3 {( x% Z1 Q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * E7 A% k( G! ~
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwProxy.EXE\debugger: 3 O: g1 C+ ~6 z% q/ L5 L( m
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , V7 T4 v5 Q9 K4 y0 H/ Y
\ImageFileExecutionOptions\rfwsrv.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwstub.EXE\debugger: 6 p; S3 B6 E6 ?% C& g
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RSTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : @: W" f( n" B7 K- b1 W
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Runiep.EXE\debugger: 2 K) k( `& V# X( f+ A% g: o2 U* x
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - W) i4 d3 U1 l
\ImageFileExecutionOptions\safeboxTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 N9 P! ]' O7 m7 j* S
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\SREngLdr.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ' w3 b0 q! ?( d
\ImageFileExecutionOptions\Trojanwall.EXE\debugger: 5 D/ b3 c* h4 n6 ?. W
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   Y$ O: X. r; i. S4 v
\ImageFileExecutionOptions\TrojDie.KXP\debugger: 1 X& K, k1 M8 _8 x# P& A- f
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 t, }8 H, n( w; ~! u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPC32.EXE\debugger: 4 r: L" k. k6 ^& x
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPTRAY.EXE\debugger: * s8 Y' e: W$ s9 I6 T: b
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: ; S& G- k8 z! E! y; v# T
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / J# Z+ f( g0 p, A7 T$ _* C
19)修改隐藏显示
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示）
20)删除以下键值破坏安全模式。 4 @" T/ K8 L6 B3 [1 s
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 3 D* s6 [' ~9 M
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 3 Y0 X* F* A8 J
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。 * D0 \; ?# @7 q$ k% x  k. S0 e9 _
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 ' |4 K2 B7 U* T; ~* W% R( ^  @
杀毒清理 srengworm 卡巴斯基超级巡警江民金山 6 K" c7 j! f$ h8 e2 n
Antivirusfirewall 9 n5 G9 k4 m! t4 R3 c
检测 mcafee 病毒防火墙主动防御 + i$ ]0 K) J; h% y
微点防御绿鹰木马瑞星进程 processnod32 0 w0 t% F* h( u2 V# F. [/ r
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化/ L5 R9 n+ b' W# {$ b% Y
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

% x( z/ U1 ~, w, q( d5 M, t
* u5 \# {* V6 {2 E
病毒现象
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。( M: E* T1 t' q7 C
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。1 Z$ H  o4 r+ p6 }# l
比如，运行Sreng时，会出现这个错误

3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
  |& O- ^' j7 e1 U+ Z
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。6 T. z  D3 Q4 A: |" k
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。# R6 P; k4 g9 C( G! y. s
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。/ F! c0 B8 y, }# ]% `3 m1 K/ ^
传播方式2 z) N, H/ e5 T; l9 X$ k# o6 }
1.通过U盘、移动硬盘的自动播放功能传播
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。# `* \  m' `# O$ T

反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区( H  F) G& `& Z: n. W
使用System Repair Engineer扫描日志，将日志作为附件上传上来。1 \* v* t2 x" T; M0 v( F* _
下载页面：http://www.kztechs.com/sreng/download.html5 N: s- H2 q8 X- [& K, t& q0 i# Y
操作方法：1 I+ W9 x8 h' x5 L, i
1、下载后解压缩，运行SREngPS.EXE；3 X# C! q8 i2 E- V% h2 E  N0 ^
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；& E3 f$ W6 K& h9 {- v2 }- \# `
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序 $ I, e6 Y8 t3 u+ d

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦! . g' v! A3 {4 |/ }4 c, d9 {

用木马专杀进行全盘扫描杀毒，试试
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP