中招了！我所见过的最恶毒的病＃毒—“AV终结者”@_@大家小心！！！

steed

AV终结者(随机八位数，映像劫持，破坏安全模式)病毒解决方案
出处：DSW Avert 时间：2007年6月11日

! t3 `& r' J0 a8 [) m" m& ^3 X最近，一种病毒变种(以随机八位字符为文件名)疯狂传播。由于病毒制造者会经常更新病毒文件，使病毒变种狂增，一方面使很多用户深受其害，更一方面使得专杀效果不是很好，所以还是建议进行手工查杀。
' @7 r! R9 g2 Q, Y2 H: Z          一、病毒相关分析：
          　　病毒标签：
        病毒名称：Trojan-PSW.Win32.Nilage.gen/Virus.Win32.Autorun.gen
: |+ g' r# n6 ~+ R" C- B& `        病毒别名：帕虫--瑞星，AV终结者--金山，U盘寄生虫--江民
        病毒类型：病毒
/ M% b! R# M6 Z! e        危害级别：5
        感染平台：Windows 平台
5 t  `9 k# G, |  m8 k% D, {4 ]        病毒大小：33,363 (字节)
        SHA1　　：d8ced73c38439ca03bd2f4f07a492b58b9a82947
2 c4 Y6 O5 T4 v% _8 P        加壳类型：upx
        开发工具：Delphi
; D  o9 D7 N5 k! j1 u6 _% q# S　　病毒分析：

       1、运行病毒文件后，会生成以下文件：
# }' @- k1 b: F0 p* s          %CommonProgramFiles%\Microsoft Shared\MSInfo\随机八位字符.dll (46163字节)
: {3 _8 ?/ e! A0 W2 f; f7 \+ w: l1 j. p          %CommonProgramFiles%\Microsoft Shared\MSInfo\随机八位字符.dat (33363字节)
          %SystemRoot%\Help\随机八位字符.chm                            (33363字节)
& T7 _' a! z/ `, ?! ?/ A! _2 `          %SystemRoot%\随机八位字符.hlp                                    (33字节)
1 p/ V) C3 [5 N1 N$ k/ `  w          在除系统盘外的各盘根目录下生成
          autorun.inf                                                     (172字节)
$ T0 c+ L* [  g( b          随机八位字符.exe                                              (33363字节)

[ 本帖最后由 steed 于 2007-6-21 13:52 编辑 ]

steed

2、关闭运行的安全软件，监控并关闭以下含有以下字符串的文件夹、窗体、进程、服务、网页或文本：

          AntiVirus、Trojan、Firewall、Kaspersky、JiangMin、KV200、kxp、Rising、RAV、RFW、KAV200、KAV6、
          McAfe、Network Associates、TrustPort、Norton、Symantec、SYMANT~1、Norton、SystemWorks、ESET、
          Grisoft、F-Pro、Alwil Software、ALWILS~1、F-Secure、ArcaBit、Softwin、ClamWin、DrWe、Fortine、
$ \0 H! A0 p- k/ Q          anda Software、Vba3、TrendMicro、QUICKH~1、TRENDM~1、Quick Heal、eSaf、ewido、Prevx1、ersavg、
; A$ ~5 q- Z1 X$ o; E7 U          Ikarus、Sopho、Sunbelt、PC-cilli、ZoneAlar、 Agnitum、WinAntiVirus、AhnLab、Norma、surfsecret、
8 o' l; B& n" f! n2 k( B: z          Bullguard、BlackICE、Armor2net、360safe、SkyNet、k2007、AntiyLabs、LinDirMicro Lab、Filseclab、ast、
% v7 ^# U' u' a/ {. h          System Safety Monitor、ProcessGuard、FengYun、Lavasoft、Defendio、kis6、Behead、sreng、IceSword、
          HijackThis、killbox、procexp、Magicset、EQSysSecure、ProSecurity、Yahoo!、Google、baidu、P4P、
          Sogou PXP、yaskp.sys、BDGuard.sys、超级兔子、木马、KSysFilt.sys、KSysCall.sys、AVK、K7、Zondex、
# \+ R: q/ T' i  g0 k& h* F          blcorp、TinyFirewall Pro、Jetico、HAURI、CA、kmx、PCClear_Plus、Novatix、Ashampoo、WinPatrol、
          Spy Cleaner Gold、CounterSpy、EagleEyeOS、Webroot、BufferZone、avp、AgentSvr、Ccenter、Rav、
, V( ^* t$ w; a/ a: G" f5 P0 U          RavMonD、RavStub、RavTask、rfwcfg、rfwsrv、RsAgent、Rsaupd、runiep、SmartUp、FileDsty、RegClean、
' |; f& K% e4 R( b( Z( {+ f          360tray、360Safe、360rpt、kabaload、safelive、Ras、KASMain、KASTask、KAV32、KAVDX、KAVStart、
          KISLnchr、KmailMon、KMFilter、KPFW32、KPFW32X、KPFWSvc、KWatch9x、Kwatch、KwatchX、TrojanDetector、
( K& D6 T- y: w5 p3 U; _0 D          UpLive.EXE、KVSrvXP、KvDetect、KregEx、kvol、kvolself、kvupload、kvwsc、UIHost、IceSword、iparmo、
          mmsk、adam、MagicSet、PFWLiveUpdate、SREng、WoptiClean、scan32、shcfg32、mcconsol、HijackThis、
          mmqcj、Trojanwall、FTCleanerShell、loaddll.、rfwProxy、KsLoader、KvfwMcl、autoruns.、AppSvc32、
* O9 J* }2 }4 e% s( n6 t  R% I2 I          ccSvcHst、isPwdSvc、symlcsvc、nod32kui、avgrssvc、RfwMain、KAVPFW、Iparmor、nod32krn、PFW、RavMon、
          KAVSetup、NAVSetup、SysSafe、QHSET、xsweep.、AvMonitor、UmxCfg、UmxFwHlp、UmxPol、UmxAgent、
3 e! f. j! d4 o) ?4 o; H          UmxAttachment、KPFW32、KPFW32X、KvXP_1、KVMonXP_1、KvReport、KVScan、KVStub、KvXP、KVMonXP、KVCenter、
) D4 @8 Y7 N1 A' }/ ]          TrojDie、avp.com、krepair.COM、KaScrScn.SCR、Trojan、Virus、kaspersky、jiangmin、rising、ikaka、duba、
          kingsoft、360safe、木马、木馬、病毒、杀毒、殺毒、查毒、防毒、反病毒、专杀、專殺、卡巴、江民、瑞星、
          卡卡社区、金山毒霸、毒霸、金山、社区、360安全、恶意软件、流氓软件、举报、报警、杀软、殺軟、防駭、微点、
' j: w6 Y& H( t0 j8 @          MSInfo、WinRAR、KvNative、bsmain、aswBoot

steed

3、删除以下注册表项破坏安全模式
          HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
          HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
          HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
7 Y" w& T' \" D. p; w# G. T          HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
          修改系统隐藏属性:
+ L1 |0 F9 s  p$ D" e* e          改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
          Folder\Hidden\SHOWALL\CheckedValue值为0
0 P" L; D2 ~, n# t          //1为显示隐藏文件

steed

4、添加IFEO映像劫持项
7 a: c7 {0 Z& O+ ]4 W9 W          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe
* [5 L& w& _, R          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
2 J4 J1 v0 }+ Z! L$ v* ?  b( T          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AppSvc32.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AST.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrssvc.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com
9 b% A5 D. h! u% p4 c          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
) x! y8 h7 W6 v: F6 f: X          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSvcHst.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FileDsty.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FTCleanerShell.exe
  [$ X" w0 J) ^  {          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe
8 C+ ?- R. T7 |/ p+ [( u) v* `- f          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\isPwdSvc.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe
$ _$ K4 p6 ~) H          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KaScrScn.SCR
. \  T! G% r. q3 h1 K' c          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASMain.exe
( J3 G! W1 l4 l' M2 H- N" o0 w6 A          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASTask.exe

steed

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAV32.exe
% h  g# }; n) A4 g          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVDX.exe
! M8 j! T- ~5 Z. B. E          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe
. u) p, \8 f. a8 v6 _+ D) s+ d          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVSetup.exe
, H) l! s+ w( r) D, e6 v+ w# V          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVStart.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KISLnchr.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMailMon.exe
- R- N" @3 d2 [1 x9 ?! ^          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMFilter.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.exe
5 j1 m# L. s2 W( N: r/ `          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32X.exe
1 M$ p5 P/ C- P9 |          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFWSvc.exe
- S- ]. }+ X; i* b4 P' u9 T          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\krepair.COM
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KsLoader.exe
) F8 b% L3 c3 [4 Y" S          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVCenter.kxp
/ T" Z* D1 U( z          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvfwMcl.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp
1 T& C, R2 ~4 x) ~8 Y3 }9 Q          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP_1.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvol.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvolself.exe
5 Q7 D4 s; Y% @          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvReport.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVScan.kxp
2 g4 E& [) I$ q* g( S0 @' m          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVStub.kxp
$ y. D% _8 ?9 w" R          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvupload.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvwsc.exe
+ I4 Y  W  m0 g+ G: s6 U& I7 S          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp
& ]3 u4 @6 M' Z' C3 z          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP_1.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch9x.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatchX.exe
- T  _5 H9 A8 C          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\loaddll.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcconsol.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmqczj.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NAVSetup.exe
; p/ u5 H/ R, \, Q; P          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32kui.exe
  c/ J& |) R2 c* u1 G: Q7 j          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe
; j% O, ^* s# q          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe

steed

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QHSET.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe
8 n+ [" N4 n& T! J1 O7 g) X          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe
7 {" r- l; I- Q) b          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
2 ^" n- K/ K, ?  B: [          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe
7 t0 B6 {( L, K) V; t/ ^          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegClean.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwcfg.exe
  p9 n" H. ~+ e  b- v          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RfwMain.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.exe
4 o$ N5 t5 A8 W7 Q+ b          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rsaupd.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe
2 x" m+ G/ ^+ Q  Z# x, G8 _          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safelive.exe
6 D7 D$ \( _/ Z          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\scan32.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\shcfg32.exe
6 `9 d3 Y4 H1 w% \/ |          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SmartUp.exe
3 p; Y/ p- p0 ]0 x! y! w          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.exe
8 t- v3 _# Z0 Q% J2 P. ]          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\symlcsvc.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SysSafe.exe
$ v5 t  U' c; ?! n1 g0 P          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe
! y; m: L0 p1 `, k: D* q) k6 I( Y          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp
! s/ l- J; @1 M: z8 ]% J; K          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UIHost.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAgent.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAttachment.exe
& Q' T) ~2 }4 w" W, |3 ~3 X          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxCfg.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxFwHlp.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxPol.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpLive.EXE.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe
$ G' i& f- ~% a* Y1 K9 M5 z6 t          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zxsweep.exe
          以上键值均指向
: K, y$ s7 s9 ~+ _6 r2 H! E          %CommonProgramFiles%\Microsoft Shared\MSInfo\随机八位字符.dat

steed

5、连接http://google。171738。org 和http://head.bodyhtml。biz/ani.js
          下载ani.c (1,156 字节)Ani.c为ANI溢出程序，并通过该文件下载
2 l, H  U9 q+ x' W* j" T% O          http://head。bodyhtml。biz/update。exe。
5 l3 _1 e; a" ^( D1 |          通过连接http://www。cnzz。com/stat/website.php?web_id=518199记录访问量。

; V2 @  \: I& f! e& G8 E
       6、update.exe文件会从http://head。bodyhtml。biz上下载大量木马与病毒。
/ ~  R% s4 }" ~& ~9 e( i          其中包括AV终结者变种，病毒如下：%CommonProgramFiles%\system\jbtmfqq。exe          (25240字节)
          %CommonProgramFiles%\microsoft shared\ytbikec。exe                                (25240字节)
9 H+ {9 p. N0 o- d. v9 K          在除系统盘根目录下
  J7 t6 C7 |# J" b, l+ o          autorun.inf
3 @0 H4 h0 y' i7 I" X& g          hsomklg.exe             (28672字节)
4 s3 V) D/ A# v  r/ |( }( |+ [          %temp%目录下
          LYLOADER.EXE            (10196字节)
          LYMANGR.DLL              (2816字节)
! |0 P5 K3 e6 v% ?9 _% E          MSDEG32.DLL              (4999字节)
7 I# z3 P; G/ i# g4 s  c* G' C          ~SM3.tmp                (19504字节)
9 D2 k, {5 O6 M, s          ~SM4.tmp                (19504字节)
7 X2 v5 s- q) T( \& p  m- n+ l) W          ~SM5.tmp                (19504字节)
2 }; d! i8 o* [, ^5 S" H# p; j          ~SM6.tmp                (19504字节)
. a7 g: x7 \' q; K% b7 x          ~SM7.tmp                (19504字节)
. ^+ j+ P7 Q( |' B8 E          以上文件会采用添加自身到启动项或插入explorer.exe进程进行自我保护，还会下载其他盗取网游帐号的木马。
* p+ f2 w6 m3 I* G. f' s. y5 A
[ 本帖最后由 steed 于 2007-6-20 23:24 编辑 ]

steed

二、解决方案：
: Y9 o8 ]" s( }+ [/ t1 R# _           
* q- L) I; O# j3 u2 j. x. d. L, ~* |
6 l' f3 E) O% b3 d$ g+ \. M
    1、先找突破点。因为映像劫持(image File Execution Options Hijack)只是针对文件名，所以只要更改变文件名，就
      可以使它失效。为了防止刚清理的病毒又被重新生成或者安全软件不能使用。我们先解除映像支持，使用超级巡警中
      新发布的IFEO修复功能(“安全优化”中“系统修复”下的“Fix IFEO”) 即可。因为AST可能已经被映像劫持，所以
9 G  c; H! b4 H" |3 t8 ^8 b# M- q      推荐使用超级巡警团队针对此类病毒新推出的“ToolsLoader”(详见http://www.dswlab.com/d3.html)。
" v# m5 r: z+ B/ ~  Q: F9 J% ^) p

6 S  s' U: `& F    2、清出内存病毒和病毒文件。找到加载到 explorer.exe 的dll文件(文件名应该与就是刚才记着的相同)，用超级巡警
      ToolsLoader卸载它。然后删除掉dll文件和同目录下的扩展名为dat的文件(因为病毒会监控以上文件的目录，所以推
! }) h# A  r7 G: f' X) p& l6 Z      荐使用巡警中的“文件粉碎机”删除以上文件)。 然后用 win+e 打开资源管理器，找到根目录下的 autorun.inf 和
      autorun.inf 里面记录的exe文件(注意： 不要双击盘符或单击盘符右键选打开，这样让autorun.inf失效，然后使用
      巡警中的“文件粉碎机”删除这两个文件)。现在病毒的主文件已经都清理了。剩下的可以用病毒文件的文件名(不要
( B$ |' X' w8 K3 K" I/ E7 R" R      扩展名)和病毒文件生成时间进行全盘搜索，找到的文件都删除掉。此病毒还会连接一些网站，下载大量盗号软件 ，
0 s( C: ?; ~! T" R8 b- b      这些盗号软件目的是盗取游戏程序或其他程序的帐号与密码，清除不会很复杂。它们一般都采用加载启动的方法，达
      到开机运行的效果。所以只要删除了启动项及其对应的文件，就可解决。这些病毒文件产生的dll文件和垃圾文件 ，
      就可以交给杀毒软件处理了。

4 T4 E  o/ _  a7 z
" S8 ]: z1 C( W    3、全面修复。修复隐藏属性：使[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
      Explorer\Advanced\Folder\Hidden\SHOWALL]下的"CheckedValue"= dword:00000001。修复安全模式，可以用超级巡
      警的安全修复(“安全优化”中“系统修复”下的“Fix IFEO”)。也可以先在能进入安全模式的机器中导出
3 p6 S9 ^# |8 z( X- a% a      HKLM\SYSTEM\ControSet001\Control\SafeBoot\
9 L0 O4 y& Z, `  I9 C. b" v/ E* M" f$ P      HKLM\SYSTEM\ControSet003\Control\SafeBoot\
* W. |( r6 R. R1 [* q. m2 t7 u      HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\然后复制到本机上导入。
      修复映像劫持：这个在第一步已经做了。

  h- O1 e9 V& Q& ^2 G
2 `. a& x: b6 ^1 @    4、安全模式杀毒。确保杀毒软件升级到最新，确保打上了最新的系统补丁(用巡警的补丁检查功能，没打的补丁一定要
- f& P+ g, ~! y4 Q, V% `4 s7 a      打上)，进入安全模式(推荐断开网络)，使用超级巡警进行全盘扫描，彻底清除各种病毒。
6 ?; u9 f4 X4 h# Y6 T- {
" X5 j( J% {1 ^- [* Y0 Y" a
    5、使用超级巡警屏蔽网站http://head.bodyhtml.biz

steed

6月8日，金山毒霸发布紧急预警，“AV终结者”病毒导致大量安全软件无法正常使用，用户系统安全面临严峻威胁；短短三天之后，6月12日，“AV终结者”危害行为变得更加恶劣，杀毒软件被禁用，反病毒网站无法打开，安全模式遭破坏，格式化系统盘后病毒仍无法清除，用户电脑的安全性被大大降低，电脑内的重要信息、机密文件、网络财产等面临严峻威胁。
1 H" r: q; J( A: `3 k+ A/ q- b% N
　　金山毒霸反病毒专家戴光剑表示，“AV终结者”集目前最流行的病毒技术于一身，而且破坏过程经过了严密的“策划”，普通用户一旦感染该病毒，从病毒进入电脑，到实施破坏，四步就可导致用户电脑彻底崩溃：
4 H& k" P* t& I1 ]- r
　　1. 禁用所有杀毒软件以相关安全工具，让用户电脑失去安全保障；
0 @0 K' P7 n1 |: m6 W6 Y- ~
  p( j- g$ K( f* U　　2.　破坏安全模式，致使用户根本无法进入安全模式清除病毒；
# H( j2 n) [4 v: e- F
　　3.　强行关闭带有病毒字样的网页，只要在网页中输入“病毒”相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登陆，用户无法通过网络寻求解决办法；

# Z! j! O0 {0 ^7 {) g0 W　　4.　格式化系统盘重装后很容易被再次感染。用户格式化后，只要双击其他盘符，病毒将再次运行。
' z/ M4 ~+ g6 z, z2 H
　　经过“AV终结者”的精心“策划”，用户电脑的安全防御体系被彻底摧毁，安全性几乎为零，而“AV终结者”并未就此罢手，自动连接到某网站，大量下载数百种木马病毒，各类盗号木马、广告木马、风险程序用用户电脑毫无抵抗力的情况下，鱼贯而来，用户的网银、网游、QQ帐号密码以及机密文件都处于极度危险之中。

4 @' ]- |: _: E% Q% W* j# r6 E　　据了解，“AV终结者”变种仍在不断更新，如果不即及时进行查杀，广大用户利益将面临更大威胁。基于“AV终结者”危害的严重性，金山毒霸呼吁所有反病毒厂商对该病毒进行联合绞杀。
  N0 Q% Q8 @4 U5 w* D
　　根据该病毒的传播特点，基于该病毒危害严重，金山毒霸反病毒中心第一时间推出了专杀工具，用户利用专杀工具进行查杀，[立即下载专杀工具]。此外由于遭遇该病毒破坏的电脑无法登陆反病毒网站，用户可到正常电脑或全国各大软件专卖店下载“AV终结者”专杀工具，然后接到中毒电脑中进行查杀。

  Z7 }& u, Y1 ^4 V　　同时，金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2007年6月8日免费下载最新版金山毒霸2007或使用金山毒霸在线杀毒来防止病毒入侵，拨打金山毒霸反病毒急救电话010—82331816反病毒专家将为您提供帮助。

steed

第1步：在能正常上网的电脑上登录金山毒霸网站，
( {* a& z& Y0 C" D1 D( R$ }下载AV终结者病毒专杀工具
6 A. ?9 a0 `# ?0 X适用平台：WinXP 更新版本：v3.7
" {' G( H* _# n$ l工具大小：309 KB
) c/ D9 n1 W  l' F1 O% s. |2 d; G工具说明：彻底清除AV终结者病毒
; L6 q" z6 Z* D! t( G% f第2步：在正常的电脑上禁止自动播放功能，避免插入U盘或移动硬盘而被病毒感染。[方法图示]
% V9 b% ~" X! }! I' _把AV终结者专杀工具从正常的电脑复制到U盘或移动硬盘上，然后再复制到中毒的电脑上。
& Z& `% p9 Q  W0 T" t& u7 q& ~) O& Y9 K第3步：执行AV终结者专杀工具，清除已知的病毒，修复被破坏的系统配置。
" \- [( V( ^; i# H3 ~# z$ U) d1 X第4步：不要立即重启电脑，请先启动杀毒软件，升级病毒库，进行全盘扫描。以清除木马下载器下载的其它病毒。
8 y9 d- I) v) W9 x0 r' `3. 如何预防“AV终结者”病毒？
因为AV终结者病毒一旦感染，清除过程相当复杂，可能不少用户就会去重装。我们建议用户不要轻易重装系统，使用我们推荐的步骤完成清除：
1. 使用金山网镖或Windows防火墙，可有效防止网络病毒通过黑客攻击手段入侵，
2. 使用金山毒霸的漏洞修复功能或者windows update来修补系统漏洞，特别需要注意安装浏览器的最新补丁，
1 z/ g' C1 K' A7 v  e* Z+ p% G; r/ u3. 升级杀毒软件，开启实时监控，
7 Z1 U6 K" z0 a# q* z% E4. 网管采取综合措施防范ARP攻击挂马事件，有关ARP攻击的解决办法[详细]，
  z2 O3 T! R* q1 \- [5. 关闭windows的自动播放功能。

=|HERO|=XIAOYAO

LZ有刷盾嫌疑……

steed

http://zhuansha.duba.net/259.shtml

' e& Z5 x1 U1 g6 T中这个病毒，我头大了3天！
0 E% X9 a' z  u% H
大家赶快采取防范措施！！！

steed

原帖由 =|HERO|=XIAOYAO@BF2 于 2007-6-20 23:19 发表
LZ有刷盾嫌疑……

好心当作驴肝肺！！！我要那点破盾干什么？
: k1 d4 z" M7 m$ [0 ~$ p
1 y" o, Y0 i$ I! P我曾经有六七年的工作文档全部被病毒删除，欲哭无泪。

我也不多解释，有同样经历的朋友会知道厉害的！
. I8 S) j. a* t! N
但愿[email==|HERO|=XIAOYAO@BF2]=|HERO|=XIAOYAO@BF2[/email] 别中了毒后悔来找这个帖子就好
- e* m5 P5 ?" E
1 M7 j3 G! Z! E1 H希望管事的能加个亮，让更多的朋友看到，并做好防护措施。
5 w( {0 o% R4 ~& T  B
# p1 C1 L* N9 Q( U尤其是存有重要资料的公用电脑。还有在网上炒股的朋友们……
0 L) f( R! X( E. f


7 j. s+ J0 b% D0 S% l: |* g- T- Q[ 本帖最后由 steed 于 2007-6-20 23:37 编辑 ]

=|HERO|=..P_P..

妖装重..

=|HERO|=XIAOYAO

灭哈哈，那就感谢LZ分享……

我觉得我的电脑安全防护固若金汤，呵呵， 好的防火墙+杀毒软件， 还有好的操作习惯。