病毒的解决方法.docx

资源描述

病毒的解决方法.docx

《病毒的解决方法.docx》由会员分享，可在线阅读，更多相关《病毒的解决方法.docx（17页珍藏版）》请在冰豆网上搜索。

病毒的解决方法.docx

病毒的解决方法

“网游大盗”变种bu

2006年09月27日来源/作者：

江民科技

　　病毒名称：

Trojan/PSW.GamePass.bu

　　病毒中文名：

“网游大盗”变种bu

　　病毒类型：

木马

　　危险级别：

★

　　影响平台：

Win9X/ME/NT/2000/XP/2003

　　感染对象：

　　描述Trojan/PSW.GamePass.bu“网游大盗”变种bu是一个利用网络共享进行传播的木马程序。

“网游大盗”变种bu运行后，在Windows目录下创建病毒副本和一个木马下载器。

修改注册表，实现开机自启。

将病毒文件注入到IEXPLORE.EXE或EXPLORER.EXE的进程中，隐藏自我，防止被查杀。

连接指定站点，侦听黑客指令，下载并执行特定文件，终止某些与安全相关的服务，降低被感染计算机上的安全设置。

遍历用户计算机的C到Y驱动器，搜索共享文件夹，一经发现便利用空用户名和空密码打开共享文件夹，并自我复制到共享文件夹下，感染该文件夹下所有的.exe文件，实现网络共享传播。

　　解决方案：

　　1、请及时升级江民KV2006杀毒软件，开启BOOTSCAN功能及各项监控，防止冲击波、震荡波等恶性病毒攻击用户计算机。

BOOTSCAN功能在Windows启动前能彻底清除以上恶性病毒，全面保护用户计算机。

　　2、江民KV网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。

　　3、“江民密保”可有效保护网上银行、网络游戏、支付平台、网上证券交易等账号、密码，彻底斩断“网银大盗”、“证券大盗”、“传奇窃贼”、“天堂杀手”等专门盗号的木马黑手，全面保护用户机密信息。

　　4、在运行通过网络共享下载的软件程序之前，建议先进行病毒查杀，以免导致中毒。

　　5、设置网络共享帐号及密码时，尽量不要使用常见字符串，如guest、administrator等。

密码最好超过八位，尽量复杂化。

　　6、怀疑已中毒的用户可使用江民免费在线查毒进行病毒查证。

免费在线查毒地址：

“VML漏洞利用代码”病毒

“VML漏洞利用代码（Exploit.HTML.Execod.a）”病毒

　　警惕程度：

★★★☆

　　漏洞利用代码，不主动传播

　　依赖系统：

WIN9X/NT/2000/XP。

　　它是利用微软最新的IE浏览器VML漏洞进行编制的一个木马下载器程序，微软暂时还没有针对该漏洞发布补丁程序。

黑客利用该代码构造特殊的网站，或在被攻击的网站放置该代码。

当用户浏览这些网站的时候该恶意代码会偷偷从网上下载并运行病毒\木马等恶意程序。

目前，国内已经出现了利用IEVML漏洞进行下载的生成器，可以生成含有IEVML漏洞的网页。

　　反病毒专家建议电脑用户采取以下措施预防该病毒：

用户可以通过反注册组件的方式暂时解决此漏洞带来的问题。

点击“开始”-》“运行”，输入“regsvr32/u"%CommonProgramFiles%\MicrosoftShared\VGX\vgx.dll"”，确定。

　　安装瑞星2006杀毒软件用户请及时更新病毒库。

“USB间谍”变种a

　　病毒名称：

TrojanSpy.USBSpy.a

　　病毒中文名：

“USB间谍”变种a

　　病毒类型：

间谍类木马

　　危险级别：

★★★

　　影响平台：

Win9X/ME/NT/2000/XP

　　感染对象：

　　描述：

TrojanSpy.USBSpy.a“USB间谍”变种a是一个由Delphi工具编写，经过UPX加壳，利用USB进行传播的间谍类木马。

“USB间谍”变种a运行后，修改注册表，实现开机自启。

　　解决方案：

　　1、请立即升级江民KV2006杀毒软件，开启BOOTSCAN功能及各项监控，防止冲击波、震荡波等恶性病毒攻击用户计算机。

BOOTSCAN功能在Windows启动前能彻底清除以上恶性病毒，全面保护用户计算机。

　　2、江民KV网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。

　　3、针对病毒利用修改注册表实现开机自启这一特点，江民杀毒软件KV2006“注册表自动修复”功能可以在第一时间清除病毒文件，对病毒破坏的系统注册表进行智能恢复。

　　4、江民杀毒软件KV2006“移动存储接入杀毒”能杜绝病毒利用移动设备（如：

u盘、移动硬盘等）入侵用户计算机，完全保护计算机系统安全。

　　5、怀疑已中毒的用户可使用江民免费在线查毒进行病毒查证。

免费在线查毒地址：

冲击波（Worm.Blaster）病毒档案

　　警惕程度：

★★★★

　　发作时间：

随机病毒类型：

蠕虫病毒传播途径：

网络/RPC漏洞

　　依赖系统:

MicrosoftWindowsNT4.0/MicrosoftWindows2000/MicrosoftWindowsXP/MicrosoftWindowsServer2003

　　病毒介绍：

　　该病毒于8月12日被瑞星全球反病毒监测网率先截获。

病毒运行时会不停地利用IP扫描技术寻找网络上系统为Win2K或XP的计算机，找到后就利用DCOMRPC缓冲区漏洞攻击该系统，一旦攻击成功，病毒体将会被传送到对方计算机中进行感染，使系统操作异常、不停重启、甚至导致系统崩溃。

另外，该病毒还会对微软的一个升级网站进行拒绝服务攻击，导致该网站堵塞，使用户无法通过该网站升级系统。

在8月16日以后，该病毒还会使被攻击的系统丧失更新该漏洞补丁的能力。

　　病毒的发现与清除：

　　1.病毒通过微软的最新RPC漏洞进行传播，因此用户应先给系统打上RPC补丁，补丁地址：

　　2.病毒运行时会建立一个名为：

“BILLY”的互斥量，使病毒自身不重复进入内存，并且病毒在内存中建立一个名为：

“msblast”的进程，用户可以用任务管理器将该病毒进程终止。

　　3.病毒运行时会将自身复制为：

%systemdir%\msblast.exe,用户可以手动删除该病毒文件。

　　注意：

%Windir%是一个变量，它指的是操作系统安装目录，默认是：

“C:

\Windows”或：

“c:

\Winnt”,也可以是用户在安装操作系统时指定的其它目录。

%systemdir%是一个变量，它指的是操作系统安装目录中的系统目录，默认是：

“C:

\Windows\system”或：

“c:

\Winnt\system32”。

Rose病毒病状及解决办法

Rose.exe病毒主要表现在：

　　1、在系统中占用大量cpu资源。

　　2、在每个分区下建立rose.exeautorun.inf2个文件，双击该盘符时显示自动运行，但无法打开该分区。

　　3、大部分通过U盘、移动硬盘等存储设备传播。

对网络危害还在发现过程当中。

　　4、可能会引起部分操作系统崩溃，表现在开机自检后直接并反复重启，无法进入系统。

由于某些原因，各种杀毒软件均没有提供相应的病毒库，导致无法通过杀毒软件查杀该病毒。

现提供手动杀毒方式，具体如下：

　　1、进入安全模式，调出任务管理器，在进程页面中结束掉所有名称为Rose.exe的进程（建议在后面的操作中反复此操作，以确保病毒文件不会反复发作）。

　　2、在开始－－运行中输入“regedit”（XP系统）打开注册表，狂按F3，查找所有的“rose.exe”键值项，找到后将整个shell子键删除，多按几遍F3查找，到找不到为止。

　　3、在我的电脑－工具－文件夹选项－查看－显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉。

　　4、对每个盘符点右键－打开进入（切记不能双击），删掉所有的rose.exe和autorun.inf文件。

　　5、在c:

windowssystem32下查找有没有rose.exe文件，如果存在就直接删掉。

U盘病毒病状及解决方法:

U盘病毒病状表现:

　　1、双击打开U盘时，计算机提示找不到copy.exe。

　　2、显示隐藏文件时发现有copy.exehost.exeautorun.ini三个可疑文件。

　　3、部分U盘表现为所有文件属性被修改为隐藏。

　　4、打开系统进程有可能发现temp1.exe或temp2.exe。

解决办法：

　　先打开进程，将temp1和temp2停止进程（有时没有temp2），然后打开你的非系统盘（注意：

必须用右键打开）否则病毒会自动运行。

　　删除copy.exe;autorun.inf;host.exe。

只要有病毒的盘都是这样。

然后进入系统盘{注意：

必须用右键打开}同样删除copy.exe;autorun.inf;host.exe。

进入windows文件夹，删除***host文件。

同样进入sys32删除temp1和temp2文件。

或用下载专杀工具：

　　单独查杀rose.exe：

　　单独查杀copyexe：

　灰鸽子（Backdoor.Huigezi）作者现在还没有停止对灰鸽子的开发，再加上有些人为了避开杀毒软件的查杀故意给灰鸽子加上各种不同的壳，造成现在网络上不断有新的灰鸽子变种出现。

尽管瑞星公司一直在不遗余力地收集最新的灰鸽子样本，但由于变种繁多，还会有一些“漏网之鱼”。

如果您的机器出现灰鸽子症状但用瑞星杀毒软件查不到，那很可能是中了还没有被截获的新变种。

这个时候，就需要手工杀掉灰鸽子。

手工清除灰鸽子并不难，重要的是我们必须懂得它的运行原理。

灰鸽子的运行原理

　　灰鸽子木马分两部分：

客户端和服务端。

黑客（姑且这么称呼吧）操纵着客户端，利用客户端配置生成出一个服务端程序。

服务端文件的名字默认为G_Server.exe，然后黑客通过各种渠道传播这个木马（俗称种木马或者开后门）。

种木马的手段有很多，比如，黑客可以将它与一张图片绑定，然后假冒成一个羞涩的MM通过QQ把木马传给你，诱骗你运行；也可以建立一个个人网页，诱骗你点击，利用IE漏洞把木马下载到你的机器上并运行；还可以将文件上传到某个软件下载站点，冒充成一个有趣的软件诱骗用户下载……

　　G_Server.exe运行后将自己拷贝到Windows目录下（98/xp下为系统盘的windows目录，2k/NT下为系统盘的Winnt目录），然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。

G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端，有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。

注意，G_Server.exe这个名称并不固定，它是可以定制的，比如当定制服务端文件名为A.exe时，生成的文件就是A.exe、A.dll和A_Hook.dll。

　　Windows目录下的G_Server.exe文件将自己注册成服务（9X系统写注册表启动项），每次开机都能自动运行，运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。

G_Server.dll文件实现后门功能，与控制端客户端进行通信；G_Server_Hook.dll则通过拦截API调用来隐藏病毒。

因此，中毒后，我们看不到病毒文件，也看不到病毒注册的服务项。

随着灰鸽子服务端文件的设置不同，G_Server_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。

灰鸽子的手工检测

　　由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不到它们。

此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难。

　　但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。

从上面的运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。

通过这一点，我们可以较为准确手工检测出灰鸽子木马。

　　由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。

进入安全模式的方法是：

启动计算机，在系统进入Windows启动画面前，按下F8键（或者在启动计算机时按住Ctrl键不放），在出现的启动选项菜单中，选择“SafeMode”或“安全模式”。

　　1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。

打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。

　　2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:

\windows，2k/NT为C:

\Winnt）。

　　3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为Game_Hook.dll的文件。

　　4、根据灰鸽子原理分析我们知道，如果Game_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有Game.exe和Game.dll文件。

打开Windows目录，果然有这两个文件，同时还有一个用于记录键盘操作的GameKey.dll文件．

　　经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除。

另外，如果你发现了瑞星杀毒软件查不到的灰鸽子变种，也欢迎登陆瑞星新病毒上报网站（）上传样本。

灰鸽子的手工清除

　　经过上面的分析，清除灰鸽子就很容易了。

清除灰鸽子仍然要在安全模式下操作，主要有两步：

1、清除灰鸽子的服务；2删除灰鸽子程序文件。

注意：

为防止误操作，清除前一定要做好备份。

一、清除灰鸽子的服务

2000／XP系统：

　　1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。

），打开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。

　　2、点击菜单“编辑”－》“查找”，“查找目标”输入“game.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为Game_Server）。

3、删除整个Game_Server项。

98／me系统：

　　．在9X下，灰鸽子启动项只有一个，因此清除更为简单。

运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，我们立即看到名为Game.exe的一项，将Game.exe项删除即可。

二、删除灰鸽子程序文件

　　删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件，然后重新启动计算机。

至此，灰鸽子已经被清除干净。

小结

　　文给出了一个手工检测和清除灰鸽子的通用方法，适用于我们看到的大部分灰鸽子木马及其变种，然而仍有极少数变种采用此种方法无法检测和清除。

同时，随着灰鸽子新版本的不断推出，作者可能会加入一些新的隐藏方法、防删除手段，手工检测和清除它的难度也会越来越大。

当你确定机器中了灰鸽子木马而用本文所述的方法又检测不到时，最好找有经验的朋友帮忙解决。

病毒名称：

Download.Trojan　　影响系统：

Windows

病毒类型：

木马　　　　　　　　病毒长度：

size="10"字节

传播途径：

Download.Trojan

执行以下操作：

　　进入其作者创建的特定网站或FTP站点并试图下载新的特洛伊木马、病毒、蠕虫或其组件。

　　完成下载后，特洛伊木马程序将执行它们。

　发作现象：

Download.Trojan会连接并下载其他特洛伊木马或组件。

清除病毒：

　　禁用系统还原（WindowsMe/XP）。

　　更新病毒定义。

　　将计算机重启到安全模式或者VGA模式。

　　运行完整的系统扫描，并删除所有检测为Download.Trojan的文件。

　　如有必要，清除InternetExplorer历史和文件。

　　有关每个步骤的详细信息，请阅读以下指导。

　　禁用系统还原（WindowsMe/XP）

　　如果您运行的是WindowsMe或WindowsXP，建议您暂时关闭“系统还原”。

此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows可使用该功能将其还原。

如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

　　Windows禁止包括防病毒程序在内的外部程序修改系统还原。

因此，防病毒程序或工具无法删除SystemRestore文件夹中的威胁。

这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

　　此外，病毒扫描可能还会检测到SystemRestore文件夹中的威胁，即使您已将该威胁删除。

　　有关如何关闭系统还原功能的指导，请参阅Windows文档或下列文章之一：

　　如何禁用或启用WindowsXP系统还原

　　如何禁用或启用WindowsMe系统还原

注意：

蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。

特洛伊病毒

Backdoor.Bionet.318 危害程度指数:

轻度[1] Win32

　　Backdoor.Bionet.318是一种恶意的后门程序（backdoor）特洛伊病毒，其行径类似SubSeven、Netbus、和BackOrifice。

　　此特洛伊病毒犹如服务器的应用软件，允许远端使用者控制你的电脑并检索资讯。

所控制的功能包括搜寻、检索及传送档案、盗取密码、改变色彩及解析度、播放声音、以及改变日期和时间。

　　此程序第一次执行时，便以一个可自行设定的名称，自行安装到\Windows\System资料夹中。

后续的登录值（registrykey）也增加了好几个登录项。

HKEY_LOCAL_MACHINE\Software\GCI\BioNet3

　　该伺服端程序一旦安装就绪，用户端程序便能够在预先设定、可组态的连结埠上存取服务器的资料。

远端使用者可以获知服务器的应用软件已经被安装到你的电脑上。

服务器可以运用ICQ网络传呼传送通知、靠IRC知会、或传送电子邮件讯息。

　　此预设的伺服端程序用UPX压缩，所以大小不一定，得视所采用的压缩工具类型和版本而定。

　　Windows被启动时，此伺服端程序即开始执行。

Windowsregistry、Win.ini、或System.ini都被修改过，以便自动执行本程序。

解决“落雪”病毒的方法

　　病状：

D盘双击打不开，里面有autorun.inf和文件

做这个病毒的人也太强了，在安全模式用Administrator一样解决不了！

经过一个下午的奋战才算勉强解决。

我没用什么查杀木马的软件，全是手动一个一个把它揪出来把他删掉的。

它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。

所以要在文件夹选项里打开显示隐藏文件。

D盘里就两个，搞得你无法双击打开D盘。

里盘里的就多了！

\autorun.inf

\ProgramFiles\InternetExplorer\

\ProgramFiles\CommonFiles\

\WINDOWS\

\WINDOWS\Exeroud.exe（忘了是不是这个名字了，红色图标有传奇世界图标的）

\WINDOWS\Debug\***Programme.exe（也是上面那个图标，名字忘了-_-好大好明显非隐藏的）

\Windows\system32\这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。

\Windows\system32\

\Windows\system32\a.exe

　　对了，看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不要运行任何程序，要不就又启动了，包括双击磁盘还有一个头号文件！

WINLOGON.EXE！

做了这么多工作目的就是要杀掉她！

！

\Windows\WINLOGON.EXE这个在进程里可以看得到，有两个，一个是真的，一个是假的。

真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM，

而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。

　　这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！

就连在安全模式下它都会呆在你的进程里！

我现在所知道的就这些，要是不放心，就最好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的，连系统还原夹里都有！

！

这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！

　　知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件假，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令regedit，

进注册表到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

里面，有一个Torjanpragramme，这个明摆着“我是木马”，删！

！

　　然后注销！

重新进入系统后，打开“任务管理器”，看看有没rundll32，有的话先中止了，不知这个是真还是假，小心为好。

到D盘（注意不要双击进

展开阅读全文