三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3676次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
烦死人啦..边个高手快D来帮下我啊....救命啊!~

6 v, H! b  ~' M) }. W0 H4 l$ @
详细情况：
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`
' h' {# e6 x( x% A6 p) x
1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..- e! l; z" I! o! U* B& v8 P
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,       bs3oi8kd10.exe等
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..
* e  V) [: N- c* a( v0 f. _
5.360顽固木马查杀也用过了,重启后又有..., Z4 {# ~5 @1 f% c. [
& n7 m/ L$ B* U) D7 u7 A/ P

搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003 8 V* T. E: V/ M: n
病毒行为:

这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 6 w6 H( k0 f: U! }  N

1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。 ) J7 u6 o% m3 O' Y  V
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。
3)创建SHALONG互斥体，并判断是否存在，存在则退出。
4)将当前文件设置为隐藏和系统。
5)删除以下文件
c:\windows\system32\mfc71.dll
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
c:\windows\system32\drivers\etc\hosts、 5 V0 m# E9 A  E3 m& R8 a: u3 B
c:\winnt\system32\drivers\etc\hosts。 # z& O4 r2 w; M8 z( T% j# @- c, H" C
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 # M: i' U, l. j" z0 E
7)将系统时间设置为2004年。
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f 8 N9 V$ i0 Z9 I, I5 C
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f & {8 t, z3 k' ^# ~8 v
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f + F/ n7 {0 W+ y' @! u; P9 Y% r
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f " ~1 d" J, J9 u9 V" G1 `8 v) N
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f
将这些文件设置为everyone完全控制。
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。 - K8 S" R. u2 r3 ]; _8 p  G
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 - X; M6 ~' o) h" v: g
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. 8 M; v# @* H+ r- ?
12)搜索当前进程中是否含有以下进程，有了关闭。 " b* T. G$ w. `  W
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe : d5 o& g& Q; p3 Y: v/ P
13)关闭以下杀毒软件的服务。
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus ' D: Q4 z; G3 W
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe
15)调用cmd.exe/cnet1startserver,开启server服务。
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。 ; r) [5 j; _7 F7 U, [+ `. G6 q0 Z
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll ' Y: e+ e8 ^, |2 S, c0 F
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。

到C:\ProgramFiles\ccd.pif

到C:\ProgramFiles\11.pif

到C:\ProgramFiles\22.pif

到C:\ProgramFiles\33.pif

到C:\ProgramFiles\44.pif

到C:\ProgramFiles\55pif

到C:\ProgramFiles\66.pif + M7 O. j7 |: f3 C- ]

到C:\ProgramFiles\77.pif

到C:\ProgramFiles\88.pif

到C:\ProgramFiles\99.pif

到C:\ProgramFiles\1010.pif

17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" 4 ?. @& d6 V  ?7 o
18)添加映像劫持
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360rpt.EXE\debugger: 0 |. Z  v+ M6 h7 U- N' ^+ g; ]
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % i) m* s; ]0 k9 |6 H% y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safe.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / k4 n: f/ }7 ^( J: ~
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safebox.EXE\debugger: 6 Q$ u, |# y3 l! L9 y- @; u
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360tray.EXE\debugger: ! g# N# U' W5 W0 I6 D4 Z; \
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " T9 q$ L& [, k/ `  I' ?0 t
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . u4 B" j4 l/ {& \5 v0 Q; U
\ImageFileExecutionOptions\ANTIARP.EXE\debugger: + @/ T+ ]/ |% t* Z8 M# p
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * Y- {4 Q2 {' p/ }8 f% r2 o
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 _; [2 s+ o" e0 V+ M; b; B
\ImageFileExecutionOptions\ArSwp.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / x  j0 z* j( n- P7 O' B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Ast.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 t, q: z# b/ @/ \  Z, e# i
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRun.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # ~; c* A+ f# w% n0 w
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: 3 G5 t3 Q9 }& y% }! K6 T* d
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( C: K5 Y6 {/ D+ Z, p1 r( i
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % ~" g3 S7 f$ q) Z% Z
\ImageFileExecutionOptions\AVP.COM\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AVP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 }, i$ x- _% {8 f" |
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 D; E. b) t5 R, k. Y
\ImageFileExecutionOptions\CCenter.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GFUpd.EXE\debugger: , l, Y5 a4 R* @5 P; m* y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GuardField.EXE\debugger: , h% L. q0 T; v- A
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 S; y0 E0 D* |8 I$ C
\ImageFileExecutionOptions\HijackThis.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : {1 r) f  D- i+ @$ P1 J. Q/ V
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : w1 v! q; |4 [* o0 X
\ImageFileExecutionOptions\IceSword.EXE\debugger: " u. x, a8 \6 E, x
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) [4 D* ~! }+ {) ~2 Z% Y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . ~: u/ u9 o" a5 B
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * d. ]! y: X) ^, E
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KASARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 f$ ~$ c& @4 }6 u
\ImageFileExecutionOptions\KAVPFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # r$ r3 y8 g) }( C4 @% \
\ImageFileExecutionOptions\kavstart.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kissvc.EXE\debugger: ' X' Q! |; S5 L- W0 G& h/ j2 O
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / V  ]6 l0 A7 Q$ b
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kmailmon.EXE\debugger: + B; g- D8 A& N  W) d5 l0 `: ]
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " d1 I& Q; M) [( {
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 |: \% |8 W, C1 k$ ?! |+ h
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger: 5 ]0 K) A! z' Y# v6 c: H) c
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 @4 c  v" B' L/ M" C3 r
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 a! U6 s1 a# c/ X8 B6 [% Z
\ImageFileExecutionOptions\KRegEx.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; E. z4 g; ^2 |8 Q5 d3 K$ ?  d% v
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   `& L- y: u3 j  g3 d2 |
\ImageFileExecutionOptions\KVMonxp.KXP\debugger: 8 m& e3 j0 k* E2 ]) G; n' [" ]5 u
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 x  `# u- q# h/ N4 j6 Z7 C
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger: $ C. S9 ^8 p% n9 T4 Q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + r4 q+ m) M4 B! d+ i5 D
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVWSC.EXE\debugger: 4 W) I9 V2 G5 e( d+ ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % a0 M) `1 G9 {
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kwatch.EXE\debugger: - k" J% `+ W1 x2 T7 p3 o& q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . S% d$ u: l3 R$ ?
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 |+ E" l9 q0 A/ c
\ImageFileExecutionOptions\msconfig.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 ^- j9 g! k5 c; d# v% b0 L
\ImageFileExecutionOptions\Navapsvc.EXE\debugger:   Z1 F- y- y: q7 l. L* T
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 O7 L9 c/ Q# A# x5 A; K9 f! h
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   {# i' _4 R+ l
\ImageFileExecutionOptions\nod32krn.EXE\debugger: 6 w* J+ x6 D+ p" R- D
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & U- r7 O( t6 Y' D2 }
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: # j0 l, \  g" e. b5 w' J! `
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\PFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & N$ }$ Q' T- k. C
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\QQDoctor.EXE\debugger: 0 N- l5 L& {9 v5 Z& _
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RAV.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( N! Q& O3 F4 T" D3 h% T2 ^
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & l8 F  y  I4 e' s5 P6 _% f
\ImageFileExecutionOptions\RavStub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Regedit.EXE\debugger: , p, a" u; K& A- {% ]$ `
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 d7 |6 ?. B& s: D0 N0 U& H
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ' k# A  p4 C8 Q8 i: @7 o' _
\ImageFileExecutionOptions\rfwProxy.EXE\debugger: 7 w8 I) k% o. x8 N0 c# i5 H6 e
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' O9 [2 @! R* E% X' C
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 T5 n6 P6 Q9 j( e
\ImageFileExecutionOptions\rfwsrv.EXE\debugger: & \) h0 Y: V# p8 O  o2 u) l; q2 S
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwstub.EXE\debugger: . Y8 D2 z9 \( u* g9 u. q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " \& |: A( _; P; j
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RSTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Runiep.EXE\debugger: 4 ?+ A' e+ W& j8 Q) h
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * r, {4 a# x' {7 I) g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\safeboxTray.EXE\debugger: " t$ A) D7 B4 N
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / w, I/ d6 a* D2 R6 \+ Z1 O
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\SREngLdr.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger: 0 L( s' K; G+ Q: {
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Trojanwall.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   P' [9 ~& p/ G& L/ b6 v3 G
\ImageFileExecutionOptions\TrojDie.KXP\debugger: 4 A+ L0 c, {8 q& u5 b2 n8 \
"C:\WINDOWS\system32\dllcache\spoolsv.exe" + o0 K- K+ J; I$ t* k+ }
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 F0 f7 H: u4 L9 a
\ImageFileExecutionOptions\VPC32.EXE\debugger: 3 p& V, h( e1 R$ Z' u2 p  r& ]( I8 c
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPTRAY.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 8 m6 J, s7 C7 `% Y8 S3 J
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: / b2 B4 r$ N2 J
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
19)修改隐藏显示 ; \5 g) E1 q3 Z: ~% p6 ^
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） & h+ a1 F% @: A, f5 p
20)删除以下键值破坏安全模式。 " b- C  x5 g) A, C3 V1 c* E
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 3 H, z3 T* g$ H6 }8 f8 d
杀毒清理 srengworm 卡巴斯基超级巡警江民金山
Antivirusfirewall   T  {9 A# l. ^+ k
检测 mcafee 病毒防火墙主动防御
微点防御绿鹰木马瑞星进程 processnod32 % `( _; f2 [# ?2 a% l7 v
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化. v9 g' R: @* B! X
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。" P( N! n4 v) A4 ?/ p1 C
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

7 S7 e' y/ \0 _
2 X; z1 S; C4 ?! L6 {# o
病毒现象) Q0 X6 z% n6 i7 v! k7 {
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。4 _+ Q2 q8 L) W* }- N7 Z. d# _
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。
比如，运行Sreng时，会出现这个错误

3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。

5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。1 \7 h' n- k1 L" S& K6 p% U: G
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。1 u  t8 U; \. ~% b3 ?
传播方式$ w3 L* b% W! w. f3 Y" W
1.通过U盘、移动硬盘的自动播放功能传播
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。
. I4 p4 t$ m6 r+ `+ l) W
- G2 U. Q! ]* h9 i: T
反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区  H/ A$ M. }7 s, A) Y+ H
使用System Repair Engineer扫描日志，将日志作为附件上传上来。; M& s& i% o# |) R1 G4 a
下载页面：http://www.kztechs.com/sreng/download.html/ ^+ f+ M  o8 v1 |0 u) X
操作方法：3 ]  d! J+ {( R8 ?. H! f  T
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；  E) |2 B8 t' c+ \( [# B
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；. I' B, }$ q  Z9 X# U
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序
, f  B  Z- s/ ?
如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!
; X2 ~7 Y& f/ ?/ U- B* \
用木马专杀进行全盘扫描杀毒，试试  d6 s+ w0 `1 b0 b# y
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP