三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3677次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。( B) h/ \, E0 Z' p- @0 z% [
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....) x2 q5 u- i: Y9 X! Q  E
烦死人啦..边个高手快D来帮下我啊....救命啊!~7 a2 R' s, R* z8 v
1 k. n1 x$ x" B7 p3 ]

详细情况：# U9 S) s  C1 d1 ?# `
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`

1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。$ i1 |- P0 {( Q3 L* `
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..; @, i( }2 X! k9 n
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,       bs3oi8kd10.exe等
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..- P3 H& b6 \! F" ^
+ N  g1 w$ j. x+ \) c! Y/ B) K
5.360顽固木马查杀也用过了,重启后又有...) }# s4 M8 A- Z, X8 P
/ Z: l; R) Q3 R7 ?1 m

搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为: 9 s5 y* z* ?# ?

这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 ! P- {7 r; L; y+ w/ ~, I! [

1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。
3)创建SHALONG互斥体，并判断是否存在，存在则退出。 6 E& D$ g' d9 `. ]
4)将当前文件设置为隐藏和系统。 , }0 D4 R+ W7 N& `, q" l
5)删除以下文件 3 `" S! K! k  N: s0 X3 C; m
c:\windows\system32\mfc71.dll - M; ~7 s$ z5 x6 I0 L
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll 1 S9 c4 f' \  E6 ]; s2 {, H
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll 0 ~8 C" G) l( y7 o' a/ z
c:\windows\system32\drivers\etc\hosts、
c:\winnt\system32\drivers\etc\hosts。
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 2 e, O% W9 d% v9 @- {1 p% _
7)将系统时间设置为2004年。
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f # F% F8 r" w( Z' [2 h/ @7 }% _% Y
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f * }6 h7 u/ X  r1 Q9 K- e/ S
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f & @8 c! i& }7 j* _" H9 T
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f + D: Q$ ]' `$ K2 ~
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f " H1 ?5 d1 a4 d% f& ^, v; U* p
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f # k3 i% M! F! Q3 l+ Q4 x9 }
将这些文件设置为everyone完全控制。
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 , X' {; z5 Y3 v. \! v
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. 1 U. p( l! ?: q7 y' _! |
12)搜索当前进程中是否含有以下进程，有了关闭。 0 j8 R6 v$ U5 D& w, i( v; x) s8 H& k
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe
13)关闭以下杀毒软件的服务。 . D5 I0 M/ U4 ?8 l# t  O0 g
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus   L8 J( b3 b- j* j
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess , C* {5 E9 T' k5 Y/ H, {: C
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe 1 u# [" K, f: }9 J! I( o5 s) L
15)调用cmd.exe/cnet1startserver,开启server服务。 2 j4 ]7 V! n3 I4 E! M" n. t: p
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。 ( m$ ^5 O1 R$ R& ]  u; N  f+ o
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 3 V5 M' I8 w% U  U) F$ }

到C:\ProgramFiles\ccd.pif

到C:\ProgramFiles\11.pif

到C:\ProgramFiles\22.pif % H9 _7 ?! q0 e7 w

到C:\ProgramFiles\33.pif

到C:\ProgramFiles\44.pif

到C:\ProgramFiles\55pif - k. V# p5 I' i7 H

到C:\ProgramFiles\66.pif . h; I# x0 f, s; f7 v

到C:\ProgramFiles\77.pif & X6 O5 o5 s5 J

到C:\ProgramFiles\88.pif

到C:\ProgramFiles\99.pif

到C:\ProgramFiles\1010.pif 9 O" q' C+ [7 ]! p- c0 r

17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe"
18)添加映像劫持 - l$ d3 \3 @4 m
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360rpt.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safe.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safebox.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360tray.EXE\debugger: : j, I1 r, d% f/ N$ w: s
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( j/ H; ?7 Q" V1 ?* C" c: v
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; }8 N8 r! [% v
\ImageFileExecutionOptions\ArSwp.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Ast.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 m; y( n$ C' J
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 K, \! Y/ [: U  _0 j
\ImageFileExecutionOptions\AutoRun.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ S% Z2 o# b; x6 f& O
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: + v# e% S: {$ r8 [" W. R
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AvMonitor.EXE\debugger: + W4 K7 r% N5 V& o# f, |# W
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.COM\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : f! G. n$ [, l) _' C) V  o
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * _2 w/ E! c& A4 O
\ImageFileExecutionOptions\AVP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\CCenter.EXE\debugger:   v' N& N5 D8 q% a7 l4 F
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) i) ?! V2 ?  e% j& i; S6 q
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * d' ?, T7 q; ?. J, H% h0 o
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger: " X% V* b2 S: C% |
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 o% g3 |9 c' P4 x9 c
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + C" m0 v" D9 t! s. H
\ImageFileExecutionOptions\GFUpd.EXE\debugger: " v5 }: |1 `1 Q, a7 x0 V
"C:\WINDOWS\system32\dllcache\spoolsv.exe" # l2 v; m2 P5 ~2 |
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 z% u( Z  k: [, \5 p. u1 n2 `
\ImageFileExecutionOptions\GuardField.EXE\debugger: ( }& n2 n, d* E2 o: T% o4 ?9 y+ R
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * n  Q' }0 h4 t
\ImageFileExecutionOptions\HijackThis.EXE\debugger: " S3 B, Q9 a- G3 w: d1 [0 ?: ^% O4 U
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\IceSword.EXE\debugger: & w% J9 @/ o1 I& @9 N
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Iparmor.EXE\debugger:   h/ \! A  Z6 p9 \- y
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " k2 C8 J3 j2 J: q; \5 u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KASARP.EXE\debugger: . a$ \1 u8 v, y" R" Y1 \
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " i9 W. @; L- k& y: _
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & d# Z" S+ ^7 p, y
\ImageFileExecutionOptions\KAVPFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / C, X3 y& f5 k  ^( H: r) W& B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 N# u% \- x2 q9 R; r
\ImageFileExecutionOptions\kavstart.EXE\debugger: ' V; J# V. n) z7 y) ]
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . R( P# a0 P& ~( J7 L% F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kissvc.EXE\debugger: ' c" x: E5 c7 ^' p# x$ {
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % z0 C( _) q, B5 r8 g  `! I2 p
\ImageFileExecutionOptions\kmailmon.EXE\debugger: : a; Z2 j0 S1 r- K# w
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger: ' y, H3 b( P. R& B: O3 d- t
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KRegEx.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 x1 s6 c$ |0 @5 i1 O+ E
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : t7 F4 e3 E2 y2 F
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVWSC.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 W  i) V5 _/ C
\ImageFileExecutionOptions\kwatch.EXE\debugger: & A8 y4 [4 S9 Y. E' p5 j! g
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( `$ l+ s  |% B) J/ @
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 B1 ^$ D$ d  l; i
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * G  U) d, S- f4 Y# ~0 H
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * \7 E1 ?0 s# Z! ]5 J
\ImageFileExecutionOptions\msconfig.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Navapsvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   t; E3 \7 }7 @* t; n
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 f3 s! a2 m, j" [2 r
\ImageFileExecutionOptions\nod32krn.EXE\debugger: : C# B+ A1 }' V1 C+ _1 Z; w! s
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , t- |5 b  o9 i+ ?2 q+ a
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 `2 p+ _& C, B' z# x1 E4 |" C
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: : w; J  o) p, X7 ]- o
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 p& p- t7 x' \
\ImageFileExecutionOptions\PFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 x5 _* z9 N8 ]
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\QQDoctor.EXE\debugger: + `4 f$ Q) H0 r
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , T; y$ Y+ u( `0 D
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RAV.EXE\debugger: 2 `" S- ^; L; X0 d* k
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " Q1 z- K  W* A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RavStub.EXE\debugger: # {5 ?0 N0 p( Y# M, f1 X
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & S0 E4 h! O& T$ B' M. z  g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Regedit.EXE\debugger: 8 E$ w( ]$ x/ `5 I# b# X: l
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + l% Q9 q. U& @  w" n0 o% _/ D8 F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ L0 Y7 S, b+ _: s% O* V
\ImageFileExecutionOptions\rfwProxy.EXE\debugger: ' X0 |) Y. ?9 }" v9 ]# O, b
"C:\WINDOWS\system32\dllcache\spoolsv.exe" # L" \9 J* a0 _
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwsrv.EXE\debugger: 3 i  A5 c  w: ^0 t5 N/ Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 S# Y, k# ]6 w/ X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwstub.EXE\debugger: ( t$ J7 [# B: U& l1 j3 i& }/ _6 ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 a) P" b# C. u, ~& r9 T
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 l1 g* M- s0 \4 ]8 W0 |
\ImageFileExecutionOptions\RSTray.EXE\debugger: 1 z9 C: R; n% R  E) s9 R7 Q# W
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Runiep.EXE\debugger: 4 {/ I+ V( E( V* `1 Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 H- W; j( t. W1 U: v8 p/ \8 ]
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\safeboxTray.EXE\debugger: . ]; [& t1 R- q2 O; t: t
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " N) y+ e5 Q* z6 ~
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: 8 W7 e5 s; J7 r- d
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; q  e  `+ M7 K$ O5 ?8 e1 N+ \
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " V+ j+ N& S+ N4 _  x) t2 }" j
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger: ) W& H1 G; w; a, `" ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Trojanwall.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 j- s6 P. o0 M, N( L. H$ Y* H* V: b
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\TrojDie.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; o, p8 T- S* H2 P. w; h
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPC32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPTRAY.EXE\debugger: 7 A* _- C! K+ W4 o5 {2 ]+ L( ~
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . Z) X3 p. h9 N# ]. _
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
19)修改隐藏显示 * [9 ~  j- D6 ?9 e
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） 9 D9 k' H: k& t& A3 H
20)删除以下键值破坏安全模式。 # J, `3 ]/ s9 ?! w1 b
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 6 r4 J) ]. z# ^/ A3 m" O
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 ) i! W& W4 k# ]# b  W
杀毒清理 srengworm 卡巴斯基超级巡警江民金山 ! ^( @0 ?& T1 T: @! ]
Antivirusfirewall
检测 mcafee 病毒防火墙主动防御 9 W: B: Q! N, {$ I
微点防御绿鹰木马瑞星进程 processnod32
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化# V7 R# _: ?3 K
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。: p, Y' W0 b! p. ]9 r
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。5 q7 B) L6 V% T0 G
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

2 X8 c" d0 q: F6 D1 n. R) M( g: D

病毒现象
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。( ~! c- f0 q/ Z9 H7 k! w
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。1 ]/ P* @: c7 V9 A) W$ L- j+ E" `
比如，运行Sreng时，会出现这个错误, w. C4 z7 J" l  N- p* a
/ w" l* c% y  L
3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。2 a! r& o7 }8 Q; E0 f
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。9 C7 c2 a1 c- v: r
9 A: u8 ^4 s( Q& f& d
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复4 u% X9 [$ M3 L: }
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。" t0 v: _! Z& ^; a! Q  X
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。
传播方式' m/ A" m2 S9 H9 B! Y* J
1.通过U盘、移动硬盘的自动播放功能传播$ v1 y, n( h6 ?3 l: M9 t) N# E; |
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。
  Z5 |& {5 c$ `; b( D7 }

反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区- H' H! k0 J7 x/ }1 Q
使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://www.kztechs.com/sreng/download.html9 c! u$ G$ q, c+ G1 A) t0 K
操作方法：
1、下载后解压缩，运行SREngPS.EXE；/ u( k8 D2 f( P$ c- S
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；- h  k  }! t, E3 c8 U  p
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；. \, @) y, [8 C
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；9 {- x: [4 J/ s  V
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!
- H" O8 q' ?  h0 }6 N& |( E4 U
用木马专杀进行全盘扫描杀毒，试试
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP