新手也能對(duì)付病毒:全手工清除落雪病毒 |
發(fā)布時(shí)間: 2012/7/4 16:58:28 |
下面的文章主要是教會(huì)你如何手工清除落雪病毒,“落雪”顧名思義,就是說(shuō)中了該木馬后,向系統(tǒng)釋放的病毒文件數(shù)量之多。該木馬也叫“游戲大盜”由VB 程序語(yǔ)言編寫(xiě),通過(guò) 北斗3.1 加殼處理,該木馬文件一般是紅色圖標(biāo)。
病毒運(yùn)行后,在C盤(pán)program file以及windows目錄下生成winlogon.exe、regedit.com等14個(gè)病毒文件,病毒文件之多比較少見(jiàn),,事實(shí)上這14個(gè)不同文件名的病毒文件系同一種文件。病毒文件名被模擬成正常的系統(tǒng)工具名稱(chēng),但是文件擴(kuò)展名變成了 .com。江民反病毒工程師分析,這是病毒利用了Windows操作系統(tǒng)執(zhí)行.com文件的優(yōu)先級(jí)比EXE文件高的特性,這樣,當(dāng)用戶(hù)調(diào)用系統(tǒng)配置文件Msconfig.exe的時(shí)候,一般習(xí)慣上輸入 Msconfig,而這是執(zhí)行的并不是微軟的Msconfig.exe程序,而是病毒文件 Msconfig.com ,病毒作者的“良苦用心”由此可見(jiàn)。病毒另一狡詐之處還有,病毒還創(chuàng)建一名為winlogon.exe的進(jìn)程,并把 winlogon.exe 的路徑指向c:\windows\winlogon.exe,而正常的系統(tǒng)進(jìn)程路徑是C:\WINDOWS\system32\ winlogon.exe,以此達(dá)到迷惑用戶(hù)的目的。
江民反病毒工程師介紹,除了在C盤(pán)下生成很多病毒文件外,病毒還修改注冊(cè)表文件關(guān)聯(lián),每當(dāng)用戶(hù)點(diǎn)擊html文件時(shí),都會(huì)運(yùn)行病毒。此外,病毒還在D盤(pán)下生成一個(gè)自動(dòng)運(yùn)行批處理文件,這樣即使C盤(pán)目錄下的病毒文件被清除,當(dāng)用戶(hù)打開(kāi)D盤(pán)時(shí),病毒仍然被激活運(yùn)行。
中落雪毒癥狀:
1、系統(tǒng)運(yùn)行緩慢。
2、右下方任務(wù)欄的殺軟和防火墻圖標(biāo)消失(被無(wú)故關(guān)閉)但殺軟的右鍵掃描可用。
3、D盤(pán)雙擊打不開(kāi),D盤(pán)里面有autorun.inf和pagefile.com兩個(gè)文件,其中autorun.inf為隱藏屬性。
4、打開(kāi)任務(wù)管理器,可以看到有一個(gè)當(dāng)前用戶(hù)所屬的1.EXE在運(yùn)行,或者是一個(gè)當(dāng)前用戶(hù)所屬的一個(gè)大寫(xiě)的WINLOGON.EXE在運(yùn)行。
5、打開(kāi)注冊(cè)表:在運(yùn)行程序中運(yùn)行“regedit”,會(huì)看到
(1)、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 項(xiàng)里有一個(gè)Torjan pragramme,這是木馬。
(2)、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下的"Shell"="Explorer.exe"已被改為"Shell"="Explorer.exe 1"。
6、可執(zhí)行文件.exe打不開(kāi)(包括殺軟,防火墻)。
7、開(kāi)機(jī)進(jìn)入系統(tǒng)時(shí)會(huì)跳出一個(gè)警告框,說(shuō)文件“1”找不到。(由于殺軟查殺后,無(wú)法對(duì)木馬更改的注冊(cè)表項(xiàng)進(jìn)行修復(fù))。
病毒復(fù)活方式:
1、在開(kāi)始-運(yùn)行里運(yùn)行:msocnfig,command,regedit這些命令,病毒將全部恢復(fù)。
2、雙擊病毒所有文件中的任何一個(gè)文件,病毒將完全恢復(fù)。
3、雙擊D盤(pán)。
中毒后對(duì)系統(tǒng)的改動(dòng):
向C盤(pán)釋放:(其實(shí)都是同一個(gè)文件)
c:\windows\winlogon.exe
C:\WINDOWS\1.com
C:\WINDOWS\ExERoute.exe
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\system32\command.pif
C:\Windows\system32\command.com
C:\WINDOWS\system32\dxdiag.com
C:\WINDOWS\system32\finder.com
C:\WINDOWS\system32\MSCONFIG.COM
C:\WINDOWS\system32\regedit.com
C:\WINDOWS\system32\rundll32.com
C:\Windows\WINLOGON.EXE
C:\WINDOWS\services.exe
C:\WINDOWS\Debug\DebugProgramme.exe
C:\Program Files\Common Files\iexplore.com
C:\Program Files\Common Files\Microsoft Shared\MSInfo\msinfo.rr
向D盤(pán)釋放:
D:\autorun.inf
D:\pagefile.com
向注冊(cè)表添加:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Torjan pragramme
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下
的"Shell"="Explorer.exe"已被改為"Shell"="Explorer.exe 1"。
落雪病毒處理方式:
一、GHOST法,(建議菜鳥(niǎo)及無(wú)手動(dòng)清除病毒經(jīng)驗(yàn)者使用)
1、先在D盤(pán)以外的其他盤(pán)新建了兩個(gè)文本文件,在顯示文件名擴(kuò)展名的情況下,分別改為autorun.inf和pagefile.com,然后拷貝到D盤(pán),覆蓋了病毒在D盤(pán)的兩個(gè)病毒源文件,這樣這兩個(gè)文件都可以正常顯示了,隨即直接刪除,也可以在以后刪除,D盤(pán)毒源就此清除。
2、然后GHOST一遍鏡像,恢復(fù)系統(tǒng)到從前正常狀態(tài),至此OK,如果沒(méi)有鏡像,建議在第一步以后重新安裝系統(tǒng)。
為什么不逐個(gè)清理病毒程序:
逐個(gè)清理病毒文件比較麻煩,操作需要經(jīng)驗(yàn)加細(xì)心,由于病毒文件如上面非常多不小心運(yùn)行了一個(gè),或在開(kāi)始-運(yùn)行里運(yùn)行msocnfig,command,regedit這些命令,或雙擊磁盤(pán) ,所有的這些文件全會(huì)自己補(bǔ)充回來(lái)!并且清理完成后有些后遺癥,例如某些文件打不開(kāi),IE需要修復(fù)等等。
二、逐個(gè)手動(dòng)清理法(中途注意不要雙擊到其中任何一個(gè)文件)(必須在文件夾選項(xiàng)里打開(kāi)顯示隱藏文件及顯示已知文件擴(kuò)展名)
1、打開(kāi)始菜單的運(yùn)行,輸入命令 regedit,進(jìn)注冊(cè)表,到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 刪除Torjan pragramme
2、然后注銷(xiāo)! 重新進(jìn)入系統(tǒng)后到D盤(pán)(注意不要雙擊進(jìn)入!否則又會(huì)激活這個(gè)病毒)右鍵,選“打開(kāi)”,把pagefile.com和D:\autorun.inf刪掉, 然后再到C盤(pán)把上面所列出來(lái)的文件都刪掉,可以對(duì)比其他文件的日期判斷。
3、頭號(hào)文件WINLOGON.EXE在C:\Windows\WINLOGON.EXE 可能提示刪不掉
可以用光盤(pán)啟動(dòng)進(jìn)入DOS模式,把它的系統(tǒng),隱藏屬性去掉然后刪除它!
手工病毒清除后的系統(tǒng)修復(fù)
1、把那些病毒文件刪掉后,所有的exe文件全都打不開(kāi)了,運(yùn)行cmd也不行。
到C:\Windows\system32 里,把cmd.exe文件復(fù)制出來(lái),比如到桌面,改名成cmd.com ,然后雙擊這個(gè)COM文件,然后行動(dòng)可以進(jìn)入到DOS下的命令提示符。再打入以下的命令:
assoc .exe=exefile (assoc與.exe之間有空格)
ftype exefile="%1" %*
這樣exe文件就可以運(yùn)行了。或者用Regfix.exe,sreng.exe等工具修復(fù),將擴(kuò)展名EXE改成COM,就可打開(kāi)。
2、開(kāi)機(jī)跳出找不到文件“1.com”
在運(yùn)行程序中運(yùn)行“regedit”,打開(kāi)注冊(cè)表,在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]中
把"Shell"="Explorer.exe 1"恢復(fù)為"Shell"="Explorer.exe"
3、清除了這個(gè)出馬出現(xiàn)IE不能下載 請(qǐng)?jiān)贗E選項(xiàng) 然后安全 然后點(diǎn)默認(rèn)級(jí)別就可以下載了。
以上的相關(guān)內(nèi)容就是對(duì)新手也能對(duì)付病毒:全手工清除落雪病毒的介紹,望你能有所收獲。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |