三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3699次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
烦死人啦..边个高手快D来帮下我啊....救命啊!~5 V9 y: _, E& X3 }2 W

! Q7 Q1 ^" a4 Z$ S& B( `: I" W# _
详细情况：
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`1 Z' f; Y! G3 g' e
; H, J0 l+ J7 J
1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..: x1 @- j4 d  j4 D! Y: q- E8 \
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,       bs3oi8kd10.exe等
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...2 q* G5 w# x$ M* e4 y, v
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..
8 i2 B. W6 W4 J( E5 |% C# i
5.360顽固木马查杀也用过了,重启后又有...

  J" u# I6 m" A2 @2 b
搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为: : L, b. _% V7 m7 l7 I9 H5 N
! x. F0 D  m1 M/ I4 r
这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。

1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。 ' u9 E6 F. i( |
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。 0 {. N' M8 ^& U" b" ?9 W# T- G
3)创建SHALONG互斥体，并判断是否存在，存在则退出。
4)将当前文件设置为隐藏和系统。 0 x* h8 w1 x3 {5 O7 f
5)删除以下文件 # B' [( b8 Q( O% E, ^5 A
c:\windows\system32\mfc71.dll 7 N3 k; a2 [" a1 Z! ]6 R
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll / q- E/ |+ i- K
c:\windows\system32\drivers\etc\hosts、   V4 O) y0 V* C% l
c:\winnt\system32\drivers\etc\hosts。 " ?  [7 J* T- a$ [  L1 I4 O& O
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。
7)将系统时间设置为2004年。 9 X/ T3 G4 k6 b5 I6 [. w
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f ! Q6 m+ j* U6 Z1 ^$ |9 @* R9 ]
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f 6 o6 H2 d. c/ B& _" d0 `
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f ' Z( |1 a5 p. [4 _( W) [
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f 3 s& a6 j& g# {: t9 ]: D* e7 ^6 o- L
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f
将这些文件设置为everyone完全控制。 " [+ B7 O) A( G  V5 D
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。   l" e+ S0 b  s7 P
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. 2 P4 [3 E6 o0 Y' V* ]! P+ r
12)搜索当前进程中是否含有以下进程，有了关闭。
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe
13)关闭以下杀毒软件的服务。
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus 8 @+ @: t* U, A; \
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe
15)调用cmd.exe/cnet1startserver,开启server服务。 + R' G7 \: [. u9 r6 V/ G# |. V2 c
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 5 F8 p% o( _" V& W2 w/ i

到C:\ProgramFiles\ccd.pif

到C:\ProgramFiles\11.pif

到C:\ProgramFiles\22.pif

到C:\ProgramFiles\33.pif . o4 B% x$ p& ~ l- g

到C:\ProgramFiles\44.pif

到C:\ProgramFiles\55pif 5 o5 x J# r3 ^

到C:\ProgramFiles\66.pif

到C:\ProgramFiles\77.pif ( x) A# k0 t3 d" g) ^

到C:\ProgramFiles\88.pif ) t: }$ ~. s2 m9 z4 O( K

到C:\ProgramFiles\99.pif 1 `$ g' o4 {( l

到C:\ProgramFiles\1010.pif 3 ?: _% w& T+ O, u+ ?
, G2 d( g% q' c0 Y* c* @
17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" ; N6 ]/ `6 N: D# X# o5 N  R" T* x
18)添加映像劫持
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ' H* h' [2 b8 A: l, b& ]
\ImageFileExecutionOptions\360rpt.EXE\debugger: 9 X% Z1 s) A3 i0 k0 |2 e
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ! s% [! A4 A/ r3 U5 Y/ u! S' u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safe.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - X, ^$ J0 n" q1 c+ c3 ?
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 Q3 O. _+ B, B7 F7 M; f
\ImageFileExecutionOptions\360safebox.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ }7 l9 ]5 n' |3 b3 D% z! Q* {, P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & d9 V5 M4 C, T3 R" f1 U! m
\ImageFileExecutionOptions\360tray.EXE\debugger: * ~& i" D  m( k1 n9 L+ f
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 _* J% q# t& X1 X/ O6 X+ V  q0 R
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 g1 h/ B+ N0 N% Q# b  i/ W
\ImageFileExecutionOptions\ANTIARP.EXE\debugger: , n1 o7 w: w) x, Y' _: Y' ^
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 4 n3 f& O8 C# ^
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ArSwp.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Ast.EXE\debugger: 6 z$ _: q7 O7 o1 [/ D% e1 x4 }
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRun.EXE\debugger: 6 u; e4 u. H" D
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) F2 C5 k* N8 d- b0 I  E2 D2 q
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: $ K6 A+ `$ ~1 N( p
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % `) d6 F& c. M5 j
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : c1 \5 F1 K6 e# t3 @
\ImageFileExecutionOptions\AVP.COM\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ }. k6 T0 I! O0 ^
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 X* {" i" |$ b5 p8 p
\ImageFileExecutionOptions\AVP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 ~! ~4 v2 J3 n$ D- n! v9 R$ s
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\CCenter.EXE\debugger: 3 D( ~% h. z' ?! s. Z, p* B% W
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 c" @. h% ?  ]$ }0 B. g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GFUpd.EXE\debugger: * S, U! ~6 z$ _( f4 t/ s
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 v& s* E) M5 G4 t4 W* }' z
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GuardField.EXE\debugger: 6 F" R/ o) X" E# F. y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 o, G% [5 l. b1 p
\ImageFileExecutionOptions\HijackThis.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( y+ J+ D; P) f3 p0 C  m( `$ r+ Q
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " M) D/ ?' ]# j( `7 f
\ImageFileExecutionOptions\IceSword.EXE\debugger:   y( f4 ?- T+ f
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " Q3 X6 Q: o/ B. r1 p5 e# d
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KASARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kav32.EXE\debugger: 5 X0 z' {9 u5 Z* y# f0 X9 G. u1 q
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & K" r+ ~( x, e! C* a- C7 l
\ImageFileExecutionOptions\KAVPFW.EXE\debugger: 4 w3 i. t& S0 {$ k6 O8 ~
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , a; w! q( J/ W" ^' N
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kavstart.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 b% w' }% F; [4 `% K' T
\ImageFileExecutionOptions\kissvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - @6 }# |; _6 V) c& O
\ImageFileExecutionOptions\kmailmon.EXE\debugger: " }( d' A; S9 Q- i
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; _; [  j. f) ~4 L
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 y  S. u: u5 A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KRegEx.EXE\debugger: ( |! v% e9 N9 j9 N4 b
"C:\WINDOWS\system32\dllcache\spoolsv.exe" * E( `/ M7 j1 @8 s  }- M
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . Y! j3 _+ I5 Q" Q: q
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % ]# j: r. n" P; f- w9 V
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 O$ [) K1 S5 S2 E2 ^
\ImageFileExecutionOptions\KVWSC.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 4 u& F- T$ B, q# h; A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 p8 k4 ]+ [! ^! n4 ]
\ImageFileExecutionOptions\kwatch.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 _* Y$ s9 }* O) p
\ImageFileExecutionOptions\Mmsk.EXE\debugger: : ?$ j1 a) X( i% W
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 i+ `" v+ ?1 k$ L
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 R8 L% G) A, }0 P( K, @
\ImageFileExecutionOptions\msconfig.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . G% N7 y4 d  b/ Q" S. l
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , O1 e+ t- G+ F
\ImageFileExecutionOptions\Navapsvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 t  ]  k9 D8 V" G
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ! k$ n) I% M: ^
\ImageFileExecutionOptions\nod32krn.EXE\debugger: 7 y( X/ W/ V6 |. D! Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 d4 b  ?! y1 F3 L
\ImageFileExecutionOptions\Nod32kui.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; r6 z* V8 `0 J$ w( W, C5 K. }
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\PFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\QQDoctor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 x, P- a5 V' s" p
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 Z& i9 [$ x1 _! |) J
\ImageFileExecutionOptions\RAV.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 V# `- ?; D1 a6 B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RavStub.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; M; k9 F  I( R  h) i- }; h5 u
\ImageFileExecutionOptions\Regedit.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' h. s5 G" h: i8 R( I- }
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwProxy.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwsrv.EXE\debugger: / [" x% X. Z! ^+ U+ d) O, Q% h
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwstub.EXE\debugger: ! V+ j! _4 T2 y5 J4 w; e8 B
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ n1 a' ~2 N) h/ n6 X( b
\ImageFileExecutionOptions\RSTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; q& t: F0 a1 W
\ImageFileExecutionOptions\Runiep.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 w- a3 ~0 ]2 q( Z7 T% R% u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 H% U% D- ^0 u1 c4 p0 L
\ImageFileExecutionOptions\safeboxTray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * |" s( R" o7 D  R3 _- C/ ]: h
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: ) M& J% ?8 T$ f4 h  b% {
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 {  D: T1 }1 q  A5 {
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger: 0 [$ f; r/ K' u: d/ }
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Trojanwall.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( X+ D$ y% u3 W( L& |# q0 M; @
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - _: b7 C' O( u; M
\ImageFileExecutionOptions\TrojDie.KXP\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPC32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPTRAY.EXE\debugger: 1 ^& U  P1 n& x5 H2 c0 C1 a
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: / P7 G( v- A- x, G( s& Y" n
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 u% Q2 p& a, P  g; l
19)修改隐藏显示
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） 1 F) s- j8 w- W, E+ [
20)删除以下键值破坏安全模式。
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 9 `8 t. K$ N/ O0 J8 p& L5 t' f
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。   E0 W( {  s7 N9 y  ?' K/ `  F2 L
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。
杀毒清理 srengworm 卡巴斯基超级巡警江民金山 2 g5 Z/ i: v- p! ?" p" J& [' K
Antivirusfirewall 3 X6 u/ b- B) N3 u% R1 u
检测 mcafee 病毒防火墙主动防御
微点防御绿鹰木马瑞星进程 processnod32 : a# v. }# p5 X
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化0 [. V$ n0 O+ B& N1 w1 R) k
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。7 j4 l8 B" ~" [
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。2 h6 o' C/ t2 n) C6 T. Q
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

0 M% [( K. h1 L" W2 L( B
病毒现象
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。% f/ i5 z4 f& n! E
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。
比如，运行Sreng时，会出现这个错误
- q5 c  \4 }0 U7 ]  Y0 R$ `
3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。

5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。
传播方式
1.通过U盘、移动硬盘的自动播放功能传播) z. {0 X$ j7 L+ k0 p, x  X' R
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。' c# _& J- i7 o) t) _0 L0 U; `
4 o# M0 K5 A4 {: S
  ~9 W' Y  a7 t) n- s
反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区
使用System Repair Engineer扫描日志，将日志作为附件上传上来。4 E! }/ q! F' R/ |( w) D* C
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：/ g4 ^6 y9 V6 s- [
1、下载后解压缩，运行SREngPS.EXE；6 m' q7 T  Q( O8 O8 K
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；# X% F1 C8 n4 R4 D4 I7 {6 D
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；: o9 B% ]; R8 F" o" ?9 ^% P: Z
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；% X" t& Y3 r, c% I4 R2 H7 I) a
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。/ n8 B: e' Q" M" x+ k/ v2 x! a
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦! % c/ `- v) A1 t9 P3 ~9 {) x
1 j2 M! h  @, D' c0 o6 |$ N
用木马专杀进行全盘扫描杀毒，试试
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP