急！高手来救命！电脑中毒了！ 电脑中毒, 高手, 救命

wawa3038

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。1 m' g7 l$ u) S- [* C5 |2 w
重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
" i, Z' V7 _" Q6 e烦死人啦..边个高手快D来帮下我啊....救命啊!~
- [) g' ?6 S' p( J6 \& {: Y9 i7 M
/ h! b5 v1 x5 M+ U$ a/ i" h
, q* g4 q1 i: [. z6 G; u9 H; l详细情况：$ @7 P/ i0 b! Q2 \' _
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`
7 d% p3 d7 v: g; x5 H / W) d0 w/ R' i/ A2 d" r
1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
0 ?$ B' k( f2 E& P# `6 j2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..( c+ T0 r, q0 C& E
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,        bs3oi8kd10.exe等) s' S- O. A/ W" J. B2 F. ]! S
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...
7 [4 m/ C; T( h" X' L+ ^/ a! O4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..) D( @8 m9 r7 \' D
7 A* T8 [+ f/ ^6 z; ^) i+ s( @/ r- F0 N
5.360顽固木马查杀也用过了,重启后又有...1 v8 \( z9 C3 c6 T; ?8 k
$ n, w; E  o3 I- x
" Y% r; Y$ _( `' j( v
搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

7情小渔兒

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003 + V* a7 N+ o' \( c
病毒行为: 5 t; r4 D4 |- J& B+ C

% o1 s" I# \# E1 {# v% q& O这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 + K( R9 ^* W! M8 ~& V- t
3 t: m  w8 P/ ~0 J& V0 B0 j+ r
1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。 * N% H$ p4 w, V1 ]
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。 ; j9 p$ I8 i8 H: q- i4 v
3)创建SHALONG互斥体，并判断是否存在，存在则退出。
2 d' S: i. T) i: H$ ]4)将当前文件设置为隐藏和系统。
. g5 M0 d  o' t5)删除以下文件 " H% r. [$ {0 _8 P. Y; b" I9 T; A
c:\windows\system32\mfc71.dll ! o+ O4 Q: h3 t: g8 s4 @4 i3 B9 H
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
4 z9 S' x$ G1 Q8 v" F) t8 Sd:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
  t2 Y  b; v$ |% T8 }! ^5 C0 }f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll 0 Q0 _+ U6 l3 |' @
c:\windows\system32\drivers\etc\hosts、
/ H; j6 L2 W' E( f8 C1 _/ k. s0 yc:\winnt\system32\drivers\etc\hosts。
  \. w7 Z* s! x1 M2 a6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。
+ I9 F$ ?. z9 K' T. T; o+ }7)将系统时间设置为2004年。
6 |/ k& U4 n. w. \, w4 J0 w8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f
; O/ G& n$ M: c/ Z8 L# k6 ?cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
. g  O4 m& M: ?8 K# V- l5 icacls.exec:\windows\system32\wpcap.dll/e/peveryone:f
- r& L$ y  y* Bcacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f " l5 j! U9 z' d# I" {' _
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f   @. ]! \! [+ d: \
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f
/ O' s: c- R. N* }6 S6 |cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f % S3 b- [8 c3 L+ E9 E4 `; m+ T- e
cacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f
/ h& W) C* M6 h* q/ ]# @cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f
8 Y9 p# X/ F" _. Wcacls.exec:\windows\system32\ftp.exe/e/peveryone:f * R, x2 n. A8 {3 l
将这些文件设置为everyone完全控制。
3 C( _0 m$ N2 d6 U+ A- l, r: b9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。 6 h7 u- A3 A' `0 O- Z5 G
10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。
) s$ e4 p! j/ c% [/ ~7 Q8 E11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. $ v2 a. z/ R* p9 k* T5 H9 ^. Q
12)搜索当前进程中是否含有以下进程，有了关闭。 ) E" }0 @1 D3 f4 k6 E$ N
wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe & J- q+ }9 T' D+ L6 y( }. L
13)关闭以下杀毒软件的服务。 . h% ^& C4 ?) n9 A0 {* v2 H
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus
/ B  K' P7 ?3 t' `# \DefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess
6 F$ M/ u, t, T+ o14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe ( i1 p& j/ u& H* s8 A( I; t7 J
15)调用cmd.exe/cnet1startserver,开启server服务。
* r) K# b% m) \+ J16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
! l+ u% M6 G, F8 P3 P# S⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll
  j4 X0 q6 U7 {- P  I4 g6 Q⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 ' X% |- X0 M* }/ g9 T8 m
到C:\ProgramFiles\ccd.pif 5 ?2 M4 `, W* D/ e
到C:\ProgramFiles\11.pif ( |* n1 [  `7 F3 ^  E0 h
到C:\ProgramFiles\22.pif 4 P% a- n4 R) B
到C:\ProgramFiles\33.pif
$ O- Q7 e8 U& i" e' Y& Q9 _到C:\ProgramFiles\44.pif
/ a( _( V/ K7 u到C:\ProgramFiles\55pif $ r% j. h0 R8 \- N
到C:\ProgramFiles\66.pif
+ [: F0 k  p9 Q' W5 @到C:\ProgramFiles\77.pif 3 g' X9 r- t, T! V
到C:\ProgramFiles\88.pif 8 F, j5 k* _1 w  u" J
到C:\ProgramFiles\99.pif & @2 A. j' F- Z. _6 C$ B
到C:\ProgramFiles\1010.pif 6 n! n3 E0 G5 a4 f5 F7 B1 v# ?' U9 {

  u+ d- u" u! H17)添加注册表启动键值
9 ?, V9 l; S, Q3 V8 h/ _HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe"
8 x8 u  {" J- I1 u1 a# u18)添加映像劫持 ( f$ ~2 i* }+ }! M3 k
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 B1 m7 E+ ^9 y! ~* T! }& @0 v
\ImageFileExecutionOptions\360rpt.EXE\debugger: - F& ?6 Y; l9 g
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 x$ e/ `* B) B) a6 }8 I
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
6 ?& O) T; V7 C4 y\ImageFileExecutionOptions\360safe.EXE\debugger: ( i; a9 u" ], z( Z3 W
"C:\WINDOWS\system32\dllcache\spoolsv.exe" # a; G7 [. U# o2 @3 K& G
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; l3 t& F5 K0 k$ g& z. m  T
\ImageFileExecutionOptions\360safebox.EXE\debugger:
0 z  ~# ~& b# M4 V6 m"C:\WINDOWS\system32\dllcache\spoolsv.exe" : N: a9 p6 R/ P8 u' d: U; j
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
' Y+ @" s/ Q2 `, F4 @\ImageFileExecutionOptions\360tray.EXE\debugger:
( p- Q  S2 i( g  m( t4 ["C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 I' }8 o; {5 {" o+ J) _
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , h) q7 G' J4 z) D2 G- N
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
% Q, V3 W- T4 `  M* }"C:\WINDOWS\system32\dllcache\spoolsv.exe" / ^6 \; z' J6 p6 w
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 }1 i# D; W1 U
\ImageFileExecutionOptions\ArSwp.EXE\debugger: " A& Q8 l9 q! `" q6 R
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
; _, D/ s- F, l1 n( bHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # A& H: I' c2 C6 W1 U- v3 m3 M
\ImageFileExecutionOptions\Ast.EXE\debugger:
/ ]7 t9 c! E) k! ~"C:\WINDOWS\system32\dllcache\spoolsv.exe" / `7 r" `' W9 L; S
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 j) k# c  a# i0 s' y
\ImageFileExecutionOptions\AutoRun.EXE\debugger: 3 o: [9 P, h/ {! g  M/ e
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
6 U9 d( y- q  J. l+ r$ i0 JHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * M$ J3 y: J4 a5 W$ z$ F7 O9 a  ~
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger:
: h8 O9 [5 O- s. s, B9 P& U"C:\WINDOWS\system32\dllcache\spoolsv.exe"
2 }" q2 i2 G; Q/ V3 T! b1 PHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 X+ M- e+ ~5 t& K, i" ~
\ImageFileExecutionOptions\AvMonitor.EXE\debugger: , Z" r) B  C9 A  a5 L
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : _+ F- {" P% I
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
4 w( c1 t" v) l+ R( t8 _\ImageFileExecutionOptions\AVP.COM\debugger: " g' }" ?6 S, \0 i* \! w
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   [  _. f( r& _2 r
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 Q6 [6 ?+ Q2 T" I
\ImageFileExecutionOptions\AVP.EXE\debugger:
" U2 W" V5 I/ O7 W6 v! n"C:\WINDOWS\system32\dllcache\spoolsv.exe"
; A! J& l) P; D8 k8 [) CHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
- t- q7 F2 P. R1 u\ImageFileExecutionOptions\CCenter.EXE\debugger: ' ~4 \9 S9 }/ U# s2 M2 j. w
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) L  ]  |4 C# gHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # [: n3 T" Z/ R0 Y6 P1 c: f6 K
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
2 d+ M9 x' R' m$ G( t, f! ^"C:\WINDOWS\system32\dllcache\spoolsv.exe"
  @" W' L: m# t+ p2 SHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
/ d& T0 m8 J9 o) r\ImageFileExecutionOptions\GFUpd.EXE\debugger: ; r0 g- q* e6 d4 v8 [, i, T$ c
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
4 E/ x4 Y) ^& q, a" g7 wHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
4 u/ V" B- ?2 f3 l1 G( H# e\ImageFileExecutionOptions\GuardField.EXE\debugger: ) ^4 j- W+ y& L; g7 L9 l5 ]: U, ^
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 n# `5 d4 K/ I: f, G! H7 z2 I
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * ]/ R4 O" T) w/ R# K1 Y8 w  I" ~
\ImageFileExecutionOptions\HijackThis.EXE\debugger: 6 H7 \5 \. ^) s% }0 h( `
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " u4 @% h1 G7 H5 M
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
. n/ d9 J. Q- x2 h- {5 r) I\ImageFileExecutionOptions\IceSword.EXE\debugger: - B4 v; m) ^; S. `4 J2 h$ M+ c
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
, A. }& f( P( d9 t4 }5 SHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
! I* X8 V# w" v3 @1 l\ImageFileExecutionOptions\Iparmor.EXE\debugger:
. m9 z- P' m7 I1 ]"C:\WINDOWS\system32\dllcache\spoolsv.exe"
0 i' W0 q2 n% N) f; D4 g2 w  lHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : c0 w% c8 i/ r, f, V# V, M
\ImageFileExecutionOptions\KASARP.EXE\debugger: , Y5 \. `, n2 r3 |1 ?& ]# y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
9 S2 Z6 ^. H* w) n7 bHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 ?* P! c% B2 p6 S
\ImageFileExecutionOptions\kav32.EXE\debugger: 3 r9 o' n% U+ j3 U
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   [' |6 X: K6 d9 q$ u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
& r' x* q3 c+ m) f& k# [\ImageFileExecutionOptions\KAVPFW.EXE\debugger: ' x2 _% g" Q; h; n4 ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . P- e$ u5 r. n) y& D2 {) e% u
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
% ]) u" v: S$ w( x\ImageFileExecutionOptions\kavstart.EXE\debugger: ) e7 K' F$ b4 s- d: @
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
: z1 u* K( t/ R$ D" M7 O3 IHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 W) S% o# U8 s) _- X, ~6 P6 C
\ImageFileExecutionOptions\kissvc.EXE\debugger:   W9 F5 ~0 p, B
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 Y. h: c) D, Y  v/ v
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 v2 T. B. P! f$ t  G) `4 w
\ImageFileExecutionOptions\kmailmon.EXE\debugger: - G% g3 C1 @  k% R+ r' U
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
" h, V1 ]' N! `+ cHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 Z# e- z" Z" B( s! j8 G- K
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger:
  p/ V/ f! U; [" ^& J$ j+ V8 V& u"C:\WINDOWS\system32\dllcache\spoolsv.exe"
: H) m9 s1 l8 h1 k+ w) G" kHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % Y  \+ w& k4 Z1 g
\ImageFileExecutionOptions\KRegEx.EXE\debugger: ; `0 [9 R1 r* R2 q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 \1 g% x# V2 B7 D- m' P- C
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
; i$ f) _4 Y' b  P\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
2 J+ u: I4 J5 }6 t1 O) [/ O6 j"C:\WINDOWS\system32\dllcache\spoolsv.exe" : N3 v9 h+ b7 c% h
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ W  }! f3 P! m  L/ Z0 J( V/ L
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger: 9 u8 e  Q" u+ Z2 e4 E& X' a* B/ j
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " M9 H  C4 u- M- v7 O; \, a# R
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 v" _. w- s+ m: F1 B/ u( f
\ImageFileExecutionOptions\KVWSC.EXE\debugger:
0 m5 g2 B* V: z0 O  m"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( D, z' ~# p! J1 |1 E; v# U
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 V7 [: s/ m! \
\ImageFileExecutionOptions\kwatch.EXE\debugger: , b3 s7 D# N& J9 F" i
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 G/ \  V4 M) X/ Q( c2 A. N0 y0 u) A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; x+ G$ _- o/ Y! @4 P; ?
\ImageFileExecutionOptions\Mmsk.EXE\debugger: 5 N5 U) K& P; ]: a- n
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
5 s7 Q% }# i, v) GHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
1 b5 X' ^8 h. x! g# I\ImageFileExecutionOptions\msconfig.EXE\debugger:
( c& S) [) h4 J"C:\WINDOWS\system32\dllcache\spoolsv.exe" 4 ?, |9 F) y2 T
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
7 I6 d! j' v! Q9 c4 w7 q\ImageFileExecutionOptions\Navapsvc.EXE\debugger: & T1 q* J" \. k$ t8 u' _/ I
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
5 V( Q5 I) ?5 K2 P9 oHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 2 Y& `+ `# l# F0 V
\ImageFileExecutionOptions\nod32krn.EXE\debugger:
0 [/ F( M4 G. L  z1 S"C:\WINDOWS\system32\dllcache\spoolsv.exe"
/ V' A2 }# |! V$ |8 K" G: L# f  }HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & W8 a( I0 S6 F$ ]( K1 Z2 g
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: 8 y" ^# f  B; e/ E$ ~6 Y
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
1 U6 o3 C  }- Y; G* zHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
2 U# n, z% u1 a. g) M* B\ImageFileExecutionOptions\PFW.EXE\debugger: 4 H- y" R) @/ d: N
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
# h3 {1 x$ a$ q: c6 y% NHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 o+ c. |1 D4 y& Q
\ImageFileExecutionOptions\QQDoctor.EXE\debugger:
3 e( o" Z7 ^& w8 K+ @"C:\WINDOWS\system32\dllcache\spoolsv.exe"
( _+ v( f- S( M& g# SHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
: _& p  @8 j2 @& q\ImageFileExecutionOptions\RAV.EXE\debugger:
  T/ V, r; D$ `7 f2 {' u8 C"C:\WINDOWS\system32\dllcache\spoolsv.exe" , `& N; w5 g7 X1 E8 r7 n9 @
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ) h" Y3 M, u# c/ n' E% j; N4 J  M
\ImageFileExecutionOptions\RavStub.EXE\debugger: . @. [7 W7 A$ A* }5 L
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 A, g  k) a2 b/ I! W
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
7 |  _4 X' }  I; N\ImageFileExecutionOptions\Regedit.EXE\debugger: 6 x7 t5 G! L  V4 |4 i0 `# e
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
2 r$ L5 Q' X7 f# u5 l2 DHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : G( Y  S6 A/ B- v' c( C
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
+ ?: ~, |. M# \8 V& A: W* s! e"C:\WINDOWS\system32\dllcache\spoolsv.exe"
9 L+ N8 a& ^' H$ LHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
- V/ T* i' A( Y! m8 j: _\ImageFileExecutionOptions\rfwProxy.EXE\debugger: ' l, h8 G4 T) n% Y) A& m$ v2 H  d
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : v1 q$ @8 v; r5 d5 O% v& {" H
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
. i# {+ [! T/ W" ?  K\ImageFileExecutionOptions\rfwsrv.EXE\debugger:
, P3 x4 F& |# }; c, [- t& e"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 u$ `8 p* i( x! e+ N2 B0 U" }  _4 R4 p
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
+ i2 @' n8 U6 t9 ]- H) h\ImageFileExecutionOptions\rfwstub.EXE\debugger:
: N& b, I3 M8 j, d1 H( ^7 b"C:\WINDOWS\system32\dllcache\spoolsv.exe"
: @. X: {) \% r9 A- k' @; [% {" C4 ZHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( N& |3 l% ^" U* k- d
\ImageFileExecutionOptions\RSTray.EXE\debugger:
; S( E* R- v8 y$ j7 {0 P"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 d+ O1 }+ j+ Y- C! Y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
8 Q% o2 A+ I' q, D% r! o\ImageFileExecutionOptions\Runiep.EXE\debugger: ; g% i4 ?  `- [
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
2 |$ R8 K% |0 B2 ^" ]HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
% V# G: f. j( h9 {: I( b) E\ImageFileExecutionOptions\safeboxTray.EXE\debugger: ( k! ?& E; m% b4 k8 ~$ Z
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 A) d$ l) e9 A. l9 Z1 `. `
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   T% z, X4 d2 x% |7 @4 w+ Z1 U; b2 X
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: / S& F$ g- J4 W( d
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
3 Y8 I) J9 A; N, Q7 `, zHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( u( r7 n' `) l* g0 e
\ImageFileExecutionOptions\TrojanDetector.EXE\debugger:
8 S3 t! c5 J# e; n; t"C:\WINDOWS\system32\dllcache\spoolsv.exe"
6 r2 I* b/ l- e0 fHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 _1 c7 V; B5 z2 r# x
\ImageFileExecutionOptions\Trojanwall.EXE\debugger: % y2 x+ q& N! s' e. X/ z8 |
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 w8 C) f- v% Z5 e9 T" `
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
( s% y& ?% x0 K# {\ImageFileExecutionOptions\TrojDie.KXP\debugger: 5 P2 u6 y6 O# V) H
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
, y4 r% B/ P4 Y) X# l. DHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " w4 z# W) G3 O$ S/ `$ \
\ImageFileExecutionOptions\VPC32.EXE\debugger: / a+ D% G  w$ }4 s' H1 u) o; J# z
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 ~+ A' R& I0 r3 a' X5 H5 y( S
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
) W9 x: a+ [* ^  [* A" `\ImageFileExecutionOptions\VPTRAY.EXE\debugger:
4 W% `9 r& ?) V$ a' r, S"C:\WINDOWS\system32\dllcache\spoolsv.exe"
' ?7 |9 f! U( ^6 j* iHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , K: i& U6 o# X# m7 F3 m9 Q- n1 U! b9 S
\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: , d+ ]/ Q8 A/ A, ~- L
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 M3 j6 \. @. f6 J6 y9 u- t
19)修改隐藏显示
9 ]5 P7 J' D( S3 {3 w( M' H' gHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） 7 T: j. s& ^8 p) Z4 H9 I
20)删除以下键值破坏安全模式。
' m) G/ U! v& ~9 D7 X% d5 l7 }HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
/ ]" `# l7 I; B7 \6 {3 T) `HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" * r. g; E8 s9 Z! w4 x  v
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。 % }' E7 w2 H5 R5 x
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。
3 H" [, n5 j- P- Z杀毒清理 srengworm 卡巴斯基 超级巡警 江民金山 ) {& l% W. M5 e: u
Antivirusfirewall
8 P/ @$ R8 e2 {检测 mcafee 病毒防火墙 主动防御 , v% Y+ s' }/ q; G  N+ H
微点防御 绿鹰木马 瑞星进程 processnod32 . V% {' w- S; |# j/ q% _* f- o
专杀安全卫士

jiazi

进入DOS杀毒..再重装系统.~~~

XiNg

直接全盘格式化7 Y# @0 J' l$ u% z/ d' n8 {1 r
重要文件都拉唔到

wawa3038

唉！~算啦。。。无救了。。。

wawa3038

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

wawa3038

哩段野我之前睇过，不过实际操作就。。。。晤识。。9 |/ Q7 d+ S, a
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。
, X" D7 N- {. g无奈。。。

7情小渔兒

6 n* C& B% N$ R8 H
% g- w1 ]% q6 ?* y3 S/ m( z$ N
病毒现象
4 I, T4 n, J2 a- B7 s3 E- B- p  \1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。! X, V8 M0 F: B
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。
1 a5 o% Z9 l4 u& }& @& m比如，运行Sreng时，会出现这个错误
$ i/ P5 A, a6 F, v
& r' w4 i" h( S7 Z3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。9 A* w3 _6 C/ R: S$ m1 ?1 B& K
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
. z: E- o0 T% }( c- g* H7 j6 ^! x1 ^4 A1 i: S
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复/ k8 J4 S) ?+ d* r5 ?/ ~2 q
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。4 W! H# }- y; {
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。' W( l0 Y6 K% i" K/ f/ w6 S$ Q+ R# L
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。& n8 q1 g4 b" \, [4 L- ]/ G
传播方式/ i8 o+ `6 w) W0 U: u
1.通过U盘、移动硬盘的自动播放功能传播# h2 J- k! r. d$ z( ]# x" m; h
2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。( D7 n# N' Z! a% P3 B4 V6 L
6 @" x( K$ t" W# Y' v. d$ M- H4 ^

& t& h! X' L/ t& f( n; b" o9 g反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区* I5 a& c9 j0 j6 q- U& ~1 G
使用System Repair Engineer扫描日志，将日志作为附件上传上来。+ \+ t! i/ @2 _4 K- ^
下载页面：http://www.kztechs.com/sreng/download.html, L8 w8 @' [1 k  Z* y, i$ `+ L
操作方法：
& d- `3 z% ^# d1、下载后解压缩，运行SREngPS.EXE；9 o/ Y( J+ ^% ]: z! a
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；( r( Y) d7 G3 B1 W: x( f/ q2 \
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
2 o8 C2 y( I- A. e4、选择保存路径，文件名保持默认，直接点击【保存】；
# s3 Y( y5 {# n# l( ^5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
  U! ^+ ~+ B& H" c8 Q' T6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
/ ~: Y5 g! l. O' y注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序
8 P5 `$ U7 d& b, B/ h; f3 O; @# [4 N6 i
如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!
7 n" U3 j* ~7 a! r) M3 Z: c2 |3 y  I. ?8 X% I- a
用木马专杀进行全盘扫描杀毒，试试
- Z  Z6 l3 |$ G1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

jiazi

你去下载个新嘅DOS杀毒包,刻成光盘.一定杀到,,,

VTX

你用木马克星之类的木马软件杀啦。。。
# P$ V. l8 j( F$ ^% j1 w依家D病毒告杀软系靠吾住咖。。。我系手动杀嘅。。但系我依家部脑系吾会中毒的。。。因为我依家吾用杀软。。。而用左第二样野。。。