三乡网_In-Cool » 『宣泄控诉区』 » 急！高手来救命！电脑中毒了！

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

wawa3038发表于 2009-9-29 02:26 | 只看该作者点击3696次

急！高手来救命！电脑中毒了！

电脑中毒, 高手, 救命

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....: U1 Z3 q% R0 }
烦死人啦..边个高手快D来帮下我啊....救命啊!~

9 {& z, {5 Y0 _  r  c
详细情况：
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`$ U$ j! V% S3 C6 q0 \& _
9 ^7 X% W% ?! z  [! v5 y  u
1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,       bs3oi8kd10.exe等
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...( e; W. {- X( B1 p& x1 I5 H' ^
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..

5.360顽固木马查杀也用过了,重启后又有...% y5 ]( |9 j/ \1 O8 d4 y" ~

! m8 X% F3 U) o6 S2 s6 }( h- ~( W( B; @
搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

回复 1楼 wawa3038 的帖子

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003 3 k1 {8 W) j. l! E% Y. q8 [
病毒行为:
4 q# `6 N4 i+ v0 M+ h
这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 ! {' ]6 ~& D; z/ i

1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。
3)创建SHALONG互斥体，并判断是否存在，存在则退出。
4)将当前文件设置为隐藏和系统。
5)删除以下文件
c:\windows\system32\mfc71.dll
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll * ?" u$ W4 F+ }$ c2 b; X% }
d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll 8 i! @$ `/ s  {; b$ q% `1 P7 `
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll " [- q5 W  A# e5 q9 R
c:\windows\system32\drivers\etc\hosts、 & c' W" _# Z) w  Z7 f
c:\winnt\system32\drivers\etc\hosts。
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 ! X# r0 @0 X& O" h
7)将系统时间设置为2004年。 " q" j: ]6 `! \' f) h
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f 9 d8 \/ `6 `2 G! H
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
cacls.exec:\windows\system32\wpcap.dll/e/peveryone:f 4 @0 G1 B5 T; o/ u+ x
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f # F% V5 C: L9 C; w1 u
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f + y& p0 C" G# _  w: E* H
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f 1 [. }3 n1 H) x) y. Y  ^$ i  E# R: d! D+ O
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f ( d! _( E9 e  a( P, ~2 W5 @
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f ( C; j% M6 e; F$ ~
将这些文件设置为everyone完全控制。 ) W4 V: |, l' w9 k0 a
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 $ H8 a' X% U3 S& V
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt.
12)搜索当前进程中是否含有以下进程，有了关闭。 , c3 o( N: G* O, X) i6 ~/ T. J
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe
13)关闭以下杀毒软件的服务。
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus
DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess 1 q3 S% @9 `7 w4 ^6 ]
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe . ?5 b4 J- i  N$ B
15)调用cmd.exe/cnet1startserver,开启server服务。 ) _. i/ i. Q: g+ w* r
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。 5 Q( L5 i7 ~, A  s; {" B
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。

到C:\ProgramFiles\ccd.pif

到C:\ProgramFiles\11.pif ( R5 b' m) U. ^$ s1 a0 ~) B9 R8 j

到C:\ProgramFiles\22.pif

到C:\ProgramFiles\33.pif # N5 U4 t+ h; d# D9 w

到C:\ProgramFiles\44.pif 8 e7 A' s7 {! L9 ~9 n, G4 ~! g U

到C:\ProgramFiles\55pif

到C:\ProgramFiles\66.pif ( A; l7 J% w: D; b2 q3 D6 X

到C:\ProgramFiles\77.pif

到C:\ProgramFiles\88.pif

到C:\ProgramFiles\99.pif

到C:\ProgramFiles\1010.pif ! B& Y; d/ l, h( X; m

17)添加注册表启动键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe"
18)添加映像劫持 , w3 \  J$ P' s; \/ k
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360rpt.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safe.EXE\debugger: 7 u5 o  ]; g! n5 a/ n7 g
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\360safebox.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # z+ m# i% ?# V, T
\ImageFileExecutionOptions\360tray.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & g9 i( B$ X; ~" N# ?2 K) \
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\ArSwp.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Ast.EXE\debugger: " Y8 N% ~( U( ~: E
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRun.EXE\debugger: 3 O* ^* w# S8 y+ j3 g* g8 y9 l8 W* a- n9 _
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: ) ?. d" Z1 {8 A# w
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % H/ ?, Y4 o% F. ]. }( C! J% l" J
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 f8 O1 {! A& C5 e' k
\ImageFileExecutionOptions\AVP.COM\debugger: / u+ v+ `- O1 E3 c$ {3 x1 P3 d6 D9 ~% V
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % d9 j1 m' L$ H6 c* \. Q
\ImageFileExecutionOptions\AVP.EXE\debugger: 0 Q$ p4 I5 m2 E% r
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 }' m* v  [, R" U5 D* a
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " C% _0 d1 ^$ ^1 x9 \& y. A
\ImageFileExecutionOptions\CCenter.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . T- r, P' ]( S8 o, J- n
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 r4 Y: J* ]% j$ J6 |" ?% _/ ?
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger: 2 e# s' K% Q7 n
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % C4 g2 |  V9 c5 s
\ImageFileExecutionOptions\GFUpd.EXE\debugger: : \& L& r& c) _  Q+ c) g3 `6 s
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 O) x/ u- P9 k& N7 u! U: Y+ x
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\GuardField.EXE\debugger: & s+ c, |' A4 Z9 k. \
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - c( |5 W' }9 \0 _7 W
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # M2 |/ m9 u3 N4 `3 C7 X7 o" t
\ImageFileExecutionOptions\HijackThis.EXE\debugger: . M. ?) `# \+ ?, \5 y$ i3 I- A
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\IceSword.EXE\debugger: # j6 I& W+ z* u: U0 U
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 U, r1 W# X/ u+ C
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; @* ]1 E+ o: m+ B5 @& [. W1 W
\ImageFileExecutionOptions\Iparmor.EXE\debugger: ( X! v" i2 g- S( f( W4 O
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) g$ `0 [' |, [8 O- k; F! m
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KASARP.EXE\debugger: 5 o& I. {  x, M3 c4 I3 f& `
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % r$ T: D7 }7 r# v$ p* k
\ImageFileExecutionOptions\kav32.EXE\debugger: 0 l% E, @0 u7 \! c2 O2 v
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - w; s: u- z6 X  ?1 G" R5 d" c2 P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KAVPFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - J6 [4 F7 G+ G
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kavstart.EXE\debugger: 0 y. f3 N4 u# `- H
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\kissvc.EXE\debugger: " s  N8 i+ z" _9 v/ x
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : u# z" D! T" `* \
\ImageFileExecutionOptions\kmailmon.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   ]1 b9 Z' t8 q( ~& S6 ^
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " b$ G5 p" @/ A9 v( p
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KRegEx.EXE\debugger: % j' L( D# l) _0 c) T7 ^: t
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVMonxp.KXP\debugger: 3 [9 c4 g9 A( b; j# ~3 G+ |
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger: 1 _( G1 a5 N+ {9 x( T
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 w9 T# M" h5 t1 I; B% {5 C
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\KVWSC.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion / e/ {. z5 c! D! [0 |% @
\ImageFileExecutionOptions\kwatch.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 z; x& W+ w8 h/ |
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # u/ q3 T% |" ]3 ]
\ImageFileExecutionOptions\msconfig.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Navapsvc.EXE\debugger: # i" a9 H' [% [
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 C, z% `9 _, M  K' A
\ImageFileExecutionOptions\nod32krn.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % o. S1 c& r. I$ A( b5 @
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: 0 a9 b. e# Z( o, i0 n6 v; v
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 F( i0 D/ h) K. r+ N, F2 F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; _1 \0 n$ e1 r/ C2 Q. e  F
\ImageFileExecutionOptions\PFW.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & D! U* J! |/ x5 F4 z8 I
\ImageFileExecutionOptions\QQDoctor.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RAV.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : y9 u6 ?8 B) ?! f% J8 ^# U
\ImageFileExecutionOptions\RavStub.EXE\debugger: + t/ T8 {7 U# Z0 p
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Regedit.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 8 H0 X4 F! |4 z9 R6 D
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 B- j# v+ q& ^. A; G! }( j
\ImageFileExecutionOptions\rfwmain.EXE\debugger: 0 A3 n+ R: Y3 o3 y# J, L6 \- U
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwProxy.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & w) i& h( J2 N+ u) l$ _
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\rfwsrv.EXE\debugger: 5 t0 w" J( Q0 }
"C:\WINDOWS\system32\dllcache\spoolsv.exe" & U$ N) b3 m: v6 y7 C7 g5 |) ^+ q
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # Y/ S; J/ h% c' a. W) v) G6 p- C
\ImageFileExecutionOptions\rfwstub.EXE\debugger: . i; z- Q6 l, D2 k; p, x/ y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\RSTray.EXE\debugger: 4 L/ {2 @" H* a  b! D
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : E9 y# n' C5 I! s
\ImageFileExecutionOptions\Runiep.EXE\debugger: + Q  q& c( b( o  K0 Z  m# p8 m
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * ?5 b4 K5 f! A" G$ t4 D( I( A
\ImageFileExecutionOptions\safeboxTray.EXE\debugger: 1 x( g8 T9 i# F* B+ |
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' S9 R( j+ ]/ P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 J0 _  y9 i- x8 n" ~6 C! u9 c
\ImageFileExecutionOptions\SREngLdr.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 A3 v3 ?' x6 }8 A" c  g
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\Trojanwall.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\TrojDie.KXP\debugger: ! ^% n; P5 |* f$ w/ u- z7 |
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . k; w8 B+ {5 w; z
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
\ImageFileExecutionOptions\VPC32.EXE\debugger:
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . E6 G7 s5 i3 d/ t. @
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 H3 O5 m$ |8 H8 ~3 y! i$ s
\ImageFileExecutionOptions\VPTRAY.EXE\debugger: 1 J3 s, _! r) ?: ]7 f- i- O
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + O& Z5 @) f5 |1 C1 b
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: 1 m1 F: y( X% E0 ]
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) G* G" O, H5 g* D+ `' M" A$ z8 r
19)修改隐藏显示 ' V" n. ~6 L, `" J: D8 |/ e- O
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示）
20)删除以下键值破坏安全模式。
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" # s  C( T+ m" d6 N) ]: S) A  q
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。 / O9 w0 ^6 f+ H5 \% {
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 * U4 |7 Y  w% c: o6 I; \
杀毒清理 srengworm 卡巴斯基超级巡警江民金山 + k$ O# j) y% u7 U- X0 G
Antivirusfirewall
检测 mcafee 病毒防火墙主动防御
微点防御绿鹰木马瑞星进程 processnod32
专杀安全卫士

TOP

家家

等级: 管理员
发帖: 18级已经发了1372篇文章咯快19级咯

积分:

12 %

IN币: 1645 个

Cool币: 744 个

235

201

家族: FBClub - 高级打杂
来自: 中山
注册: 2006-7-2 性别:靓女-当前离线

我的座驾

社区称号

鬼

板凳

jiazi发表于 2009-9-29 08:28 | 只看该作者

进入DOS杀毒..再重装系统.~~~

TOP

厌丗

等级: Lv.6
发帖: 22级已经发了3873篇文章咯快23级咯

积分:

7 %

IN币: 8949 个

Cool币: 71 个

-7

来自: Ⅲ乡
注册: 2008-9-22 性别:帅哥-当前离线

地板

XiNg发表于 2009-9-29 09:01 | 只看该作者

回复 1楼 wawa3038 的帖子

直接全盘格式化" Z9 C2 ?6 o$ p' Z
重要文件都拉唔到

非常抱歉！您的签名已经过期，请到签名中心续费！

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

5楼

wawa3038发表于 2009-9-29 10:17 | 只看该作者

唉！~算啦。。。无救了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

6楼

wawa3038发表于 2009-9-29 10:19 | 只看该作者

回复 3楼 jiazi 的帖子

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

TOP

wawa姐

等级: Super VIP
发帖: 17级已经发了992篇文章咯快18级咯

积分:

6 %

IN币: 83648 个

Cool币: -1 个

来自: 珠海
注册: 2006-7-6 性别:靓女-当前离线

7楼

wawa3038发表于 2009-9-29 10:22 | 只看该作者

回复 2楼 7情小渔兒的帖子

哩段野我之前睇过，不过实际操作就。。。。晤识。。4 p. X5 H7 O- a9 ^' s4 k
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。" z3 i" f! z9 f1 W+ T
无奈。。。

TOP

等级: Lv.2
发帖: 03级已经发了54篇文章咯快4级咯

积分:

0 %

IN币: 1045 个

Cool币: 1398 个

来自: 水星
注册: 2009-9-29 性别:帅哥-当前离线

8楼

7情小渔兒发表于 2009-9-29 11:34 | 只看该作者

回复 7楼 wawa3038 的帖子

病毒现象
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。# {5 {4 F$ }; C, e1 Z
比如，运行Sreng时，会出现这个错误

3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
3 w) k' h' b7 _: o2 C
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复8 `* p6 R+ k- c, _3 l
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。1 n1 i$ w8 a9 r. D7 w- N& v9 X
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。( u8 }4 L% I( z* k8 u+ a
传播方式
1.通过U盘、移动硬盘的自动播放功能传播
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。

反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区
使用System Repair Engineer扫描日志，将日志作为附件上传上来。! g+ Y0 `. z! I3 T& O
下载页面：http://www.kztechs.com/sreng/download.html8 C/ M4 Z" F% ?5 i: \+ g7 I8 W
操作方法：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；! S' _3 ]) A/ X
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；) E1 \3 D' p& y- u; D' Z2 [$ C
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；0 ]7 U$ K, K% ^) j( l! q- S
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序

如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦! 9 y! Q$ C0 n7 |

用木马专杀进行全盘扫描杀毒，试试
1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip 2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip 3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

TOP