急！高手来救命！电脑中毒了！ 电脑中毒, 高手, 救命

wawa3038

电脑中了bs3ol8kd2.exe病毒病毒，搞佐2日都搞吾掂，瑞星，360等杀毒软件都不能使用。。
7 ], e7 I7 b, d重装过4次不同的系统，但无用。。。病毒杀完又有，杀完还有。。。重装以后都有。。。。每个盘的EXE文件全部感染了。。。修复以后又感染。。安全模式下杀过,无用....
0 P# h( R5 b! l: t% N' p* a& @烦死人啦..边个高手快D来帮下我啊....救命啊!~. k4 p& k" t5 y6 m- m7 r! u

: \4 j+ f% m$ P" i. _" A  _
& v/ A# H  s6 n5 _' x* Q: E详细情况：, j; L) }9 A6 h0 U- ^" N
通过上网查到电脑中了bs3ol8kd2.exe病毒病毒!`( S2 y# d* e( j, A) f3 c  l6 o
$ h* C/ Q9 _1 A
1.开机会出现文件保护。。提示文件被替换，需要插入光盘修复。。
. R9 m7 Q2 ~6 `5 s3 ^+ _2.不断产生：bs3oi8kd_.exe 的提示筐,同时C盘会生成很多bs3oi8kd_.exe的程序..' Q1 c1 z) K) R0 i) r" J
注:这个_代表不同的数字,列如:bs3oi8kd4.exe,        bs3oi8kd10.exe等& E- V1 T+ Y, d# `$ ~  }7 Q2 R
3.扩散速度很快,杀毒软件都被禁用了..进入安全模式也杀晤到...4 E+ o8 c9 Q- [
4.感染了所有.exe文件,扫描能把病毒删除,把被感染的exe文件全部删除重新启动或重装系统后又在C盘下出现..  E8 T1 E' E8 q5 C) A% n6 H
& z# o9 U$ o0 |
5.360顽固木马查杀也用过了,重启后又有...0 ~5 n) i9 p& E) B3 ?
: ~8 s% s! b2 m" Y5 r
  S" |9 @: r; R* m
搞2日都搞晤店,希望有人可以帮到我啦!~唉!~

7情小渔兒

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003 ( ?/ m/ S2 j' y" f/ k
病毒行为:   U7 t" v" O! {
- Z; o; e1 g$ t- b7 B9 l
这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 + ^* N# l3 V6 f7 y4 Q* t

$ V# g$ T: O' `3 T3 L/ Y2 L1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。 # D( E( Q2 \# ]: R; f
2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。 - ^3 S1 j  Q- E; l
3)创建SHALONG互斥体，并判断是否存在，存在则退出。 6 D) _. x1 ]% ?( K
4)将当前文件设置为隐藏和系统。 ! @) C3 E$ N1 b! {
5)删除以下文件 0 V+ G6 s$ n$ v
c:\windows\system32\mfc71.dll - X8 |( Y( L" b$ A1 V5 B7 H
C:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
* ^2 A6 ~4 D2 m$ j2 |d:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll . J( L0 H1 h  u( c0 p( ^2 O
f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll + r  o) G% \0 K) O3 h6 l( p6 }8 W
c:\windows\system32\drivers\etc\hosts、
2 B# `& |% J4 F2 H  M# G# r# Lc:\winnt\system32\drivers\etc\hosts。 9 z- {9 h2 W5 e2 Z) E
6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。
  Q- Z: V2 @1 r$ ?3 A+ w6 i7)将系统时间设置为2004年。 $ C9 q7 \0 x- r1 P7 ]; c2 c
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f 6 ^) o  o# L' K, N! f
cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
6 n- u$ l8 `8 N, Z' ^6 w0 scacls.exec:\windows\system32\wpcap.dll/e/peveryone:f / E. J& n# t5 K, j& S' |' N% M2 ^
cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f ) ?. f. ?! ~, X6 M7 s
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f
. @# d! x( z% k3 h0 \5 {cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f 9 \: `7 g/ e2 e( ^
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f
% V( H& z; M, F5 v3 V( xcacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f 4 @! C+ C% x; p+ i0 ~! T
cacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f ) x* C( @) A/ `9 d& t4 _5 R" A
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f 7 Y; n  X5 `' G
将这些文件设置为everyone完全控制。 - F/ f3 b# _9 H" r
9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
, n" p2 A7 H5 K/ g1 w10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 8 ]  N" H/ A" u& h# s2 w7 D0 `
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. 8 `& |1 e( A3 W1 ^% {( Y
12)搜索当前进程中是否含有以下进程，有了关闭。
+ [$ W+ J9 I1 K6 Zwuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe % S1 v6 H3 P6 E
13)关闭以下杀毒软件的服务。 + T! f$ P- n4 U. ^
NortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus
1 ?- n& u, F. i- G& XDefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess % ~  w$ S% N" i$ i, r" K+ Q
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe
1 o$ m$ |9 b7 N# z% V15)调用cmd.exe/cnet1startserver,开启server服务。
: t! q2 [; w$ A6 b% p16)隐藏方式打开IE，并将自己下载函数注入到其进程中。 , H  U% V9 ?6 M4 L
⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll 1 b/ j2 q7 ^) w
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。
+ [0 u4 }- q1 Y4 Y) f到C:\ProgramFiles\ccd.pif " D. W( ~) u/ ^+ K, Y! t: T
到C:\ProgramFiles\11.pif ' @& P) U" L% x3 _+ [
到C:\ProgramFiles\22.pif
) y) K. a2 _2 V+ m6 l到C:\ProgramFiles\33.pif . Z8 P* y8 c3 z4 X& ]; F) Z4 V! n
到C:\ProgramFiles\44.pif
. a! U$ ]9 b" z% [( c& S6 G5 S7 N. Z到C:\ProgramFiles\55pif ) e8 ^' O6 {9 G6 G
到C:\ProgramFiles\66.pif
0 p4 X1 y% ~5 g+ e: d) O到C:\ProgramFiles\77.pif 6 D$ q  A  w0 n0 l" i. y: p, p* k
到C:\ProgramFiles\88.pif & E2 U% E, Z1 {: t$ b" r& s) {( F9 e
到C:\ProgramFiles\99.pif
/ p  X' i; y9 O% {0 Y5 M4 Y到C:\ProgramFiles\1010.pif - C5 n/ w: v1 f7 B! T8 j2 A
; ]& N( V* `3 Y" M# i9 I7 h
17)添加注册表启动键值 5 s! T+ P  x8 p7 U
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" 5 G( F6 q5 W3 Z4 H' n) |( S
18)添加映像劫持
; L, l4 i( V  r! y2 H7 zHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 1 V5 _% w% ]4 q% k4 P, H0 K+ {
\ImageFileExecutionOptions\360rpt.EXE\debugger: 2 c& n  C0 l! Q8 r& X
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
  {9 t# _! Q; @9 h6 r/ c" ^HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
/ k# |/ e4 {5 p' }1 u\ImageFileExecutionOptions\360safe.EXE\debugger:
8 J) F! N& s. j; ~, {"C:\WINDOWS\system32\dllcache\spoolsv.exe" ! O. V/ l3 t* V/ S+ M
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ C$ P6 ~6 k  O3 u* l
\ImageFileExecutionOptions\360safebox.EXE\debugger: 8 _$ v2 c9 f. t6 ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( v& b/ l' |  ~5 C$ U1 F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 z9 i2 w/ _; Z" F
\ImageFileExecutionOptions\360tray.EXE\debugger: 9 A; v9 U, |; Z0 m- Z; e* ?
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) I7 r. g6 }- b- VHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
, I, }: ~, \% F  R1 f\ImageFileExecutionOptions\ANTIARP.EXE\debugger: 0 A' X5 U3 E* M: s5 f; V
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
2 M% b2 ?+ t# uHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
* I; x; d; |$ i- f' Z\ImageFileExecutionOptions\ArSwp.EXE\debugger: : E; M1 K! b# Q/ r
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) S% h# y* P6 o6 P2 \* Y
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
- v3 [; D# n. Q7 T3 Z1 a/ z' K4 J\ImageFileExecutionOptions\Ast.EXE\debugger:
3 b- @! V' t2 D2 w3 w"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' {* w9 X: e+ l: t& L1 L
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
8 g/ i0 L; s. z$ o0 `. }- m( c\ImageFileExecutionOptions\AutoRun.EXE\debugger: 7 t7 w4 s9 ?; }# r* A% @# @  l5 [
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : ~6 a7 {# M) F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 d4 w8 ]2 e$ I
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger:
+ k4 t, A# [9 [7 H. b9 f( ["C:\WINDOWS\system32\dllcache\spoolsv.exe" : Y* d8 U9 X9 I" {
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
& b  z7 I* r  ?3 R6 H9 v\ImageFileExecutionOptions\AvMonitor.EXE\debugger: / h; Y3 S/ h) f% J9 ]
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ ]* g! T0 Z& E$ T5 x
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 R. m' Q1 |+ s7 D5 n' ]
\ImageFileExecutionOptions\AVP.COM\debugger:
$ x$ j* q7 ~2 ^4 K7 m1 c. o"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( c7 t2 k& [7 U9 A+ ~
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & g2 u0 _, F4 Z8 _4 a! n8 c
\ImageFileExecutionOptions\AVP.EXE\debugger: : I: P* A) b+ P  p
"C:\WINDOWS\system32\dllcache\spoolsv.exe" , \* @; K/ H1 P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
5 u9 c/ n/ F7 p" v" R1 C\ImageFileExecutionOptions\CCenter.EXE\debugger:
* x& t2 x8 e) F0 n  r"C:\WINDOWS\system32\dllcache\spoolsv.exe"
* W( }- t3 N$ Q  oHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( H' J* x: z9 g, T0 V" f& U
\ImageFileExecutionOptions\Frameworkservice.EXE\debugger:
3 d  K( ~# ^* }6 ]"C:\WINDOWS\system32\dllcache\spoolsv.exe"
9 G0 N$ z1 h* U' T$ H* wHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 M* D( H9 q1 [6 J* ~
\ImageFileExecutionOptions\GFUpd.EXE\debugger:
$ f" ?9 E  y) b, `' h! l"C:\WINDOWS\system32\dllcache\spoolsv.exe" # ]9 i/ j  p* r. ~0 P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % q; U5 x& M( q
\ImageFileExecutionOptions\GuardField.EXE\debugger: ) d* J  M) a  J  x1 b
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 D+ q" ]4 F/ T% E
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
) ?# f# h4 ?. J; E6 F" F\ImageFileExecutionOptions\HijackThis.EXE\debugger:
1 _; d+ P5 x" T( a) `6 b"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ i: V$ ~" R5 D+ u4 e: g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ y2 V2 v; i' [
\ImageFileExecutionOptions\IceSword.EXE\debugger:
' _4 c& B# N3 N"C:\WINDOWS\system32\dllcache\spoolsv.exe"
* A4 U4 f* o8 f% cHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 z# z% e. }! K  j
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
2 m) o4 ^) \  D( j9 p+ h) E* l# a"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' U1 K; d5 `$ J7 ~- c0 Q" m
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # _, g% _4 W, L- i* ?9 S) A
\ImageFileExecutionOptions\KASARP.EXE\debugger: ' m9 U; ?, ?& {6 W
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( z+ A# l7 y2 k
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
- y% u+ E0 b  {\ImageFileExecutionOptions\kav32.EXE\debugger:
6 S) W; g! h3 d' G4 W0 F( F3 b"C:\WINDOWS\system32\dllcache\spoolsv.exe"
/ `7 A4 b0 l, T/ z4 x1 e# IHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
' i" R) {" ~" q4 U+ {7 Q0 ?5 Q\ImageFileExecutionOptions\KAVPFW.EXE\debugger: 7 t& x$ r- g5 `  p: q7 X  P6 L; T
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; S+ s! |' Y7 B! i  f# L
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
5 s. L  l0 ^2 W& }\ImageFileExecutionOptions\kavstart.EXE\debugger:
8 u% [9 a6 \" I. v: @& E! j, G"C:\WINDOWS\system32\dllcache\spoolsv.exe"
. R* j. W  Q3 OHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 E5 E( y- N8 S+ c
\ImageFileExecutionOptions\kissvc.EXE\debugger:
; _9 X0 N$ N( z  h"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) X' h. x. a5 g, x2 f8 }HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ N0 X% [1 i5 E* E
\ImageFileExecutionOptions\kmailmon.EXE\debugger: : m$ J% k) F3 `, K( y8 L7 {
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
/ ~# q' N% v/ d! KHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( P% a( c7 w% n/ l7 T3 c* y8 o! x
\ImageFileExecutionOptions\KPfwSvc.EXE\debugger:
* L3 E% a# |$ c4 k"C:\WINDOWS\system32\dllcache\spoolsv.exe"
; f, D0 s1 ^  s: C2 z9 [HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 L* z! x: o+ [
\ImageFileExecutionOptions\KRegEx.EXE\debugger: # M/ u$ ~9 l# m- ~
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 m* Z3 C6 l5 z# O$ ]! \
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 |7 ~8 r* o/ Q
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
" F' T! Q7 u1 n9 ^% ~; d9 P"C:\WINDOWS\system32\dllcache\spoolsv.exe"
7 d; N4 Y4 B- s$ a8 G# sHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
2 }: _) V& u' Z7 U+ h+ \3 O\ImageFileExecutionOptions\KVSrvXP.EXE\debugger: / k) w# }$ S9 `2 p8 x4 X/ h
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ) t$ g6 B6 y' d) a+ B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , X7 t1 `- Y) _0 R. b
\ImageFileExecutionOptions\KVWSC.EXE\debugger: 2 J( N5 f6 E2 z! }: p' w6 Y4 |; S
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
- ?# W2 q; G1 jHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   l/ k) H* R8 @+ Z- \/ \+ F
\ImageFileExecutionOptions\kwatch.EXE\debugger:
6 v0 y& V$ l% D7 i"C:\WINDOWS\system32\dllcache\spoolsv.exe" 4 w4 Q  _# N" B0 ]# [0 x4 @6 z$ ?3 f6 X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion % u# C; c6 j) I. E( p* v
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
/ `0 X, ^; W9 F8 J7 u; |& B"C:\WINDOWS\system32\dllcache\spoolsv.exe"
$ y9 K! a4 D3 mHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , `3 w2 Y, d2 x4 S8 |' h2 }  l
\ImageFileExecutionOptions\msconfig.EXE\debugger: 6 i4 b+ s0 J3 w
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
" Y4 Q3 G% R# Q  vHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
8 L' i5 h! R+ J/ c0 P0 X\ImageFileExecutionOptions\Navapsvc.EXE\debugger:
8 `( \4 Y+ Q- |! _3 p8 V- M6 L- i"C:\WINDOWS\system32\dllcache\spoolsv.exe" & [, l5 u) Z) X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 i3 d* W9 ^$ |# Q
\ImageFileExecutionOptions\nod32krn.EXE\debugger: 5 M! A/ ?- ^# f/ F/ L
"C:\WINDOWS\system32\dllcache\spoolsv.exe" - x( X- Y" z" K3 [0 F
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
1 H6 C' q0 U; l/ y$ X9 J\ImageFileExecutionOptions\Nod32kui.EXE\debugger:
9 K+ d# s3 ], A& y% M( M"C:\WINDOWS\system32\dllcache\spoolsv.exe" : h; S- A4 ~0 z6 u! q8 a* M
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
! w% Y! f* O: A, E% Q' ?5 O2 ~3 W\ImageFileExecutionOptions\PFW.EXE\debugger:
! i" b6 [; J7 W* J. r4 \"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ }& a. P8 F2 L# t4 [; V
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 v  ~+ R4 o4 X! f; q6 X
\ImageFileExecutionOptions\QQDoctor.EXE\debugger: 2 }7 F. Z0 W8 P" V$ b' I, Q9 }
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ; p6 O4 q- J; d6 @/ E
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 6 [, A2 C5 ^3 S% i
\ImageFileExecutionOptions\RAV.EXE\debugger:
! J* w4 j! \# ^& f; J"C:\WINDOWS\system32\dllcache\spoolsv.exe"
. H7 y, {+ z/ g% ~+ H: o! CHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + k3 Y3 _) M+ y2 f5 b
\ImageFileExecutionOptions\RavStub.EXE\debugger: + g" y+ w, V: k) e* R- q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 9 r/ H$ W& h% g% s8 E+ B
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # q$ t: m. W+ H' \
\ImageFileExecutionOptions\Regedit.EXE\debugger: 5 H* M( m9 p1 c
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
7 y; T9 I# C* r. d; @, z5 Z8 cHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion " D+ |$ o2 {5 ~, m, g8 @% c9 R1 G
\ImageFileExecutionOptions\rfwmain.EXE\debugger:
0 v: s' L, r; H2 t* I7 }& `"C:\WINDOWS\system32\dllcache\spoolsv.exe"
- m+ j8 A2 r( t" W# XHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 [9 z- g" r2 X4 u( p  `1 g
\ImageFileExecutionOptions\rfwProxy.EXE\debugger: , w: p4 d. A( a" `* P" X# u
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 w4 F5 D( C2 o0 N9 f2 X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , k' T$ \5 h0 T* U& B! w; a+ ]1 z& x
\ImageFileExecutionOptions\rfwsrv.EXE\debugger: . V; ?$ t9 n- }7 ?4 p9 l$ s$ `
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 p2 _5 Y  _, r+ O  o$ H
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 H1 v' @, |, F+ s- V2 f$ e1 X
\ImageFileExecutionOptions\rfwstub.EXE\debugger: , ?7 m; }# k) N/ t
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
, d" ^* q. v/ p8 hHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion + A. }3 r4 [0 n0 U# Q
\ImageFileExecutionOptions\RSTray.EXE\debugger: 3 q# f/ V8 ]7 h) E' O: z
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
$ @- ~& @8 p4 B% c# _8 h% V4 M2 |HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
0 v* n0 k& N7 t" R\ImageFileExecutionOptions\Runiep.EXE\debugger:
) c0 L; `- c4 S' G7 j"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ a2 o. }+ @) {" k4 o+ T
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
5 `: C3 {) W, p  z\ImageFileExecutionOptions\safeboxTray.EXE\debugger:
2 S% p9 Q% B7 x" A) w* _"C:\WINDOWS\system32\dllcache\spoolsv.exe"
1 a8 I: `. `3 p' Y/ s4 P$ bHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & y/ N; V: y9 g, @
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: 6 z# Q+ N8 [& a: d/ {/ h2 A
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " S5 s- X7 p5 j, P
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
% N$ ~8 X# d4 r5 v- ?\ImageFileExecutionOptions\TrojanDetector.EXE\debugger: : r5 f: Z( Y& o; S4 F
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
9 }, i4 ~6 k0 dHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion , m' ~1 i7 N' h& b% ~
\ImageFileExecutionOptions\Trojanwall.EXE\debugger:   N, a( b6 i# s+ p
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
/ D. x3 P$ d" PHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & l: B( L8 U1 F' S
\ImageFileExecutionOptions\TrojDie.KXP\debugger:
( ^& y/ z/ T; E' Z+ t: f$ o"C:\WINDOWS\system32\dllcache\spoolsv.exe" 3 ~* x0 Q, q# s/ c1 r8 U
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion # [" L; w* Q5 ?2 o3 E9 C" c& }& U
\ImageFileExecutionOptions\VPC32.EXE\debugger:
  }% {, Y* W- }9 P8 \( e1 r"C:\WINDOWS\system32\dllcache\spoolsv.exe"
$ [  u% p; i# bHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
% Q* ~& N5 r! U9 ~" K: o. y\ImageFileExecutionOptions\VPTRAY.EXE\debugger:
: l; h4 P, P  g( F"C:\WINDOWS\system32\dllcache\spoolsv.exe"
8 w5 D  W/ e+ G1 C9 `( w+ q; ?HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
# @" V; F# w6 k7 t: W$ S+ f\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: , r+ i) L: a/ L% d6 b3 y2 Q; L
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 r$ E' f# T6 D: }. j& D
19)修改隐藏显示
) h8 I0 {9 |% u5 h+ m( MHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示）
) _, f5 B5 e, ?1 z( r9 K20)删除以下键值破坏安全模式。 ; K( u6 K2 A2 p6 T$ [0 x* f
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
, W* d) a6 i5 r; THKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 3 d5 T# I# w, ]0 H& w
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。 - x# D, @8 [+ K0 Q# U4 T$ u
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 3 W5 J* i( g4 C) @6 t5 N4 |4 g
杀毒清理 srengworm 卡巴斯基 超级巡警 江民金山
) w1 {% K$ i$ F8 KAntivirusfirewall
5 c" y% l7 p) O* a) }/ p检测 mcafee 病毒防火墙 主动防御
1 F/ t3 R4 e4 O% j9 r- {4 @- u7 R微点防御 绿鹰木马 瑞星进程 processnod32 # H9 q, p0 b: J; J
专杀安全卫士

jiazi

进入DOS杀毒..再重装系统.~~~

XiNg

直接全盘格式化, d8 Q( K7 F6 U/ f
重要文件都拉唔到

wawa3038

唉！~算啦。。。无救了。。。

wawa3038

入佐DOS，用咩杀啊？我晤识啊。。。杀毒软件都废晒了。。。

wawa3038

哩段野我之前睇过，不过实际操作就。。。。晤识。。( U" l* T$ J  b! C+ x
而且未确定系唔系哩个病毒，太耐了。。已经变种了。。: v+ i" N) u- R2 ^* _2 A
无奈。。。

7情小渔兒

( P7 A3 e/ j' l* E
0 ?+ m0 E) ]+ S* @
病毒现象: I, y- V( e0 E+ |
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。$ o1 C7 e! q" U- x
2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。
8 N6 I- Y2 A' W: g+ r) e+ y比如，运行Sreng时，会出现这个错误* R( |4 T9 L" y7 L. D1 B5 ]+ f0 X
1 |! A; O6 [4 U% [. r/ B* k% x0 F
3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。% H8 w6 d9 _( ~, h
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
! E. W( u) x8 A2 @# P2 v8 S  A6 Z' T2 C: D) ]1 e% B
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复4 v) ]* n3 l8 \3 X. X
6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。6 C+ y0 Y; y& T; N& g4 @
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。
  p5 T6 g0 T: k0 {* w1 v& o) A9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。: j# b, d  C; p( G/ K* ^) N
传播方式' h1 ^8 P2 V1 H6 `
1.通过U盘、移动硬盘的自动播放功能传播
2 y/ a+ s2 o, K; H6 R2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。4 F5 n- D/ S* {
0 Y+ W  e" i7 T5 F( W$ b3 q
, Y1 b+ N/ p% X" v) b( \
反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区5 X  g0 e& I. B# I% |( w
使用System Repair Engineer扫描日志，将日志作为附件上传上来。
. o7 }, y9 o6 `' h( z下载页面：http://www.kztechs.com/sreng/download.html
  P6 }/ [" x5 m$ D& h操作方法：" F0 R. Y- j7 m7 D
1、下载后解压缩，运行SREngPS.EXE；
# q6 ^2 W3 j& M" Y% a2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；& o9 H5 j" Z: ]3 K; Q4 B) @- k
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；- q3 L4 _# ?3 g6 @
4、选择保存路径，文件名保持默认，直接点击【保存】；2 {; ?! @; ?" [! _5 O* V/ x
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
2 y0 Z. c6 t$ o8 {6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。- l" H, }9 }: Z1 r! y2 N
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序 ( o; q8 W3 U9 A: ?& w

. a$ f# u; A  [如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦! 3 m" S+ C$ W! ], f( S3 [. X

) @4 B, {: S* Q2 ~7 p; B8 D# R  o) i用木马专杀进行全盘扫描杀毒，试试
5 j- x- V6 l' y/ m1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀

jiazi

你去下载个新嘅DOS杀毒包,刻成光盘.一定杀到,,,

VTX

你用木马克星之类的木马软件杀啦。。。( S7 Z9 |$ R% i# f& |
依家D病毒告杀软系靠吾住咖。。。我系手动杀嘅。。但系我依家部脑系吾会中毒的。。。因为我依家吾用杀软。。。而用左第二样野。。。