中招了！我所见过的最恶毒的病＃毒—“AV终结者”@_@大家小心！！！

steed

AV终结者(随机八位数，映像劫持，破坏安全模式)病毒解决方案
5 F# l, G( L6 `' A出处：DSW Avert 时间：2007年6月11日

5 k- V6 T$ z5 l0 q% H- K: |最近，一种病毒变种(以随机八位字符为文件名)疯狂传播。由于病毒制造者会经常更新病毒文件，使病毒变种狂增，一方面使很多用户深受其害，更一方面使得专杀效果不是很好，所以还是建议进行手工查杀。
' J% K: K' s& Z8 d( W' @7 z          一、病毒相关分析：
, T: F' Z9 N3 s% X  Q          　　病毒标签：
1 d* [; h! l. ~        病毒名称：Trojan-PSW.Win32.Nilage.gen/Virus.Win32.Autorun.gen
        病毒别名：帕虫--瑞星，AV终结者--金山，U盘寄生虫--江民
2 r  W4 v# A* _, l7 s' g        病毒类型：病毒
        危害级别：5
        感染平台：Windows 平台
1 y9 S# P8 d# H0 X: b6 f, x- c        病毒大小：33,363 (字节)
9 ]& s# u. v$ c9 M4 ?, l7 S$ j/ u) f        SHA1　　：d8ced73c38439ca03bd2f4f07a492b58b9a82947
        加壳类型：upx
        开发工具：Delphi
　　病毒分析：

) S: ]& b9 M/ c' ?% N) s& B       1、运行病毒文件后，会生成以下文件：
          %CommonProgramFiles%\Microsoft Shared\MSInfo\随机八位字符.dll (46163字节)
% G; {& B* R' b4 L4 ^# w          %CommonProgramFiles%\Microsoft Shared\MSInfo\随机八位字符.dat (33363字节)
5 i  G( Y! q5 Z6 @) ]          %SystemRoot%\Help\随机八位字符.chm                            (33363字节)
          %SystemRoot%\随机八位字符.hlp                                    (33字节)
          在除系统盘外的各盘根目录下生成
          autorun.inf                                                     (172字节)
* c( u  F# r) ]* W2 H          随机八位字符.exe                                              (33363字节)

5 |8 m/ x; _2 b& y) h) f3 x! G* x( Q" z[ 本帖最后由 steed 于 2007-6-21 13:52 编辑 ]

steed

2、关闭运行的安全软件，监控并关闭以下含有以下字符串的文件夹、窗体、进程、服务、网页或文本：

9 m  Z$ U8 I- _# i# b% C          AntiVirus、Trojan、Firewall、Kaspersky、JiangMin、KV200、kxp、Rising、RAV、RFW、KAV200、KAV6、
3 k+ Y/ [& G3 c/ W          McAfe、Network Associates、TrustPort、Norton、Symantec、SYMANT~1、Norton、SystemWorks、ESET、
4 J+ v$ i3 q# v& l: d          Grisoft、F-Pro、Alwil Software、ALWILS~1、F-Secure、ArcaBit、Softwin、ClamWin、DrWe、Fortine、
/ `: ~" U9 X' \$ l. T( D5 p          anda Software、Vba3、TrendMicro、QUICKH~1、TRENDM~1、Quick Heal、eSaf、ewido、Prevx1、ersavg、
          Ikarus、Sopho、Sunbelt、PC-cilli、ZoneAlar、 Agnitum、WinAntiVirus、AhnLab、Norma、surfsecret、
, b# q+ v! U4 C, x# ~/ Z" s          Bullguard、BlackICE、Armor2net、360safe、SkyNet、k2007、AntiyLabs、LinDirMicro Lab、Filseclab、ast、
          System Safety Monitor、ProcessGuard、FengYun、Lavasoft、Defendio、kis6、Behead、sreng、IceSword、
' `+ W7 n6 Y" f* u- Z+ p. f0 a          HijackThis、killbox、procexp、Magicset、EQSysSecure、ProSecurity、Yahoo!、Google、baidu、P4P、
          Sogou PXP、yaskp.sys、BDGuard.sys、超级兔子、木马、KSysFilt.sys、KSysCall.sys、AVK、K7、Zondex、
6 V# g6 i3 s  h' c          blcorp、TinyFirewall Pro、Jetico、HAURI、CA、kmx、PCClear_Plus、Novatix、Ashampoo、WinPatrol、
          Spy Cleaner Gold、CounterSpy、EagleEyeOS、Webroot、BufferZone、avp、AgentSvr、Ccenter、Rav、
          RavMonD、RavStub、RavTask、rfwcfg、rfwsrv、RsAgent、Rsaupd、runiep、SmartUp、FileDsty、RegClean、
0 H2 }0 _0 b0 d/ \( G, I; Y          360tray、360Safe、360rpt、kabaload、safelive、Ras、KASMain、KASTask、KAV32、KAVDX、KAVStart、
          KISLnchr、KmailMon、KMFilter、KPFW32、KPFW32X、KPFWSvc、KWatch9x、Kwatch、KwatchX、TrojanDetector、
4 X. [& C/ i# U9 i! H0 e          UpLive.EXE、KVSrvXP、KvDetect、KregEx、kvol、kvolself、kvupload、kvwsc、UIHost、IceSword、iparmo、
          mmsk、adam、MagicSet、PFWLiveUpdate、SREng、WoptiClean、scan32、shcfg32、mcconsol、HijackThis、
, c4 m/ k! J  A/ k3 T8 i          mmqcj、Trojanwall、FTCleanerShell、loaddll.、rfwProxy、KsLoader、KvfwMcl、autoruns.、AppSvc32、
          ccSvcHst、isPwdSvc、symlcsvc、nod32kui、avgrssvc、RfwMain、KAVPFW、Iparmor、nod32krn、PFW、RavMon、
          KAVSetup、NAVSetup、SysSafe、QHSET、xsweep.、AvMonitor、UmxCfg、UmxFwHlp、UmxPol、UmxAgent、
! o7 R+ M" c7 B) ]3 I' @          UmxAttachment、KPFW32、KPFW32X、KvXP_1、KVMonXP_1、KvReport、KVScan、KVStub、KvXP、KVMonXP、KVCenter、
          TrojDie、avp.com、krepair.COM、KaScrScn.SCR、Trojan、Virus、kaspersky、jiangmin、rising、ikaka、duba、
          kingsoft、360safe、木马、木馬、病毒、杀毒、殺毒、查毒、防毒、反病毒、专杀、專殺、卡巴、江民、瑞星、
7 I' Y$ \; _. W' _          卡卡社区、金山毒霸、毒霸、金山、社区、360安全、恶意软件、流氓软件、举报、报警、杀软、殺軟、防駭、微点、
6 V5 Y  Q. O5 W) Q- A" n/ t          MSInfo、WinRAR、KvNative、bsmain、aswBoot

steed

3、删除以下注册表项破坏安全模式
" [) W# z2 h& ]3 I$ q: s          HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
          HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
2 q' i$ F# \1 _          HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
+ s; V4 I5 [: k          HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
% r7 K! o$ n& M! j1 |- h          修改系统隐藏属性:
          改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
          Folder\Hidden\SHOWALL\CheckedValue值为0
# ^, Q. G+ I1 n& y  c: R2 Y          //1为显示隐藏文件

steed

4、添加IFEO映像劫持项
: O9 A( r+ F' ^          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AppSvc32.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AST.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe
' p1 J- C; F4 a& d, I' Q          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrssvc.exe
7 H! o% C2 V8 l) F+ E/ m          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
  |& X6 E: l4 n$ K% }. ^          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe
: P/ D) d$ c0 X9 t3 ~2 |3 n0 W          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSvcHst.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FileDsty.exe
% b, g; z$ ^/ X) f" k5 }' L6 Y, q4 {          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FTCleanerShell.exe
8 b9 w6 y& h5 [: r          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe
. A8 v9 t) n+ j, O( Y          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe
- [' u& i7 j6 o% t          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe
, T. a) R2 u+ I, k, V. [          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe
  p# k  i3 S7 @2 z  v9 D% I  G6 F" j          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\isPwdSvc.exe
+ K$ O9 u! k% D. G  S0 c( b          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe
2 T* h- c5 S7 I* C9 |& i- }          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KaScrScn.SCR
6 s8 y1 U1 d6 D8 |          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASMain.exe
0 F8 d! P$ Q0 c9 P! O          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASTask.exe

steed

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAV32.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVDX.exe
" j( j6 D+ _$ [0 E4 w1 Z  C0 F          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe
0 r7 A; P3 D. ]          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVSetup.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVStart.exe
  O4 \5 V5 B6 X& a: H          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KISLnchr.exe
7 x" K% V1 d  d! z$ o% T          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMailMon.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMFilter.exe
" q% u3 G  f" {4 `& t& }          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32X.exe
+ z) `6 i0 _3 Z( z          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFWSvc.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\krepair.COM
- q" @9 x. B3 U2 l+ ?% |( a* \          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KsLoader.exe
) F1 u. P$ m" u( e2 I          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVCenter.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe
4 I3 H4 T* Z) V) V          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvfwMcl.exe
0 }9 [- u9 X8 p: [" r$ x0 _% B          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp
3 u: Y4 z) v* e/ A5 R& n          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP_1.kxp
. l4 V2 _* A! J- ^" _  u" z1 j! z" ?' A          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvol.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvolself.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvReport.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVScan.kxp
* I' G6 |) o; L. j& g          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVStub.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvupload.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvwsc.exe
/ [  l8 g. S3 O: O% [5 x          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp
' m# |& k. z. B8 D* v! k2 Y          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP_1.kxp
. [# n9 L/ D% P9 \+ i          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch9x.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatchX.exe
1 _8 H% a5 }) A& ?  y0 ]4 E          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\loaddll.exe
" q% B- k# n. Y* u          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcconsol.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmqczj.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe
- G. ?: ?8 }: `# V          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NAVSetup.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.exe
- ?3 S9 P/ d1 i          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32kui.exe
! Q/ r9 e0 \8 h* t. f( ]          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe
. X9 ]# o0 E1 Q/ Y) ?7 u7 ?7 w          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe

steed

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QHSET.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe
) T$ D' p  F! |' A          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe
3 {" S+ j8 K2 ~; Q3 e          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegClean.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwcfg.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RfwMain.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.exe
" d; D  j' m/ S2 x7 s4 u/ R          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.exe
& [5 o2 Z  q6 B/ B' ?          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
) O, v  }7 p! p& v( b9 H          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rsaupd.exe
% t( y/ b$ r* ~, j          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safelive.exe
* y1 u" g' j7 f* a: O- O# P          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\scan32.exe
7 S7 m$ Q# k: y; d/ i          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\shcfg32.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SmartUp.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\symlcsvc.exe
. a3 R9 S! i; Y$ ?9 P/ P          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SysSafe.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe
8 D* q& ^! \1 m5 i1 B          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UIHost.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAgent.exe
% r4 C( T" g' F+ R- Q7 L          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAttachment.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxCfg.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxFwHlp.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxPol.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpLive.EXE.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe
          HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zxsweep.exe
8 w) E2 p5 ~: O7 h/ d          以上键值均指向
# M0 V% f! H7 j  `1 L          %CommonProgramFiles%\Microsoft Shared\MSInfo\随机八位字符.dat

steed

5、连接http://google。171738。org 和http://head.bodyhtml。biz/ani.js
3 @. v1 t7 X  \& E" @# w" ~          下载ani.c (1,156 字节)Ani.c为ANI溢出程序，并通过该文件下载
          http://head。bodyhtml。biz/update。exe。
          通过连接http://www。cnzz。com/stat/website.php?web_id=518199记录访问量。


# o1 I6 b9 j* o. ~+ I( n       6、update.exe文件会从http://head。bodyhtml。biz上下载大量木马与病毒。
# C) W$ I# a+ k6 U4 X          其中包括AV终结者变种，病毒如下：%CommonProgramFiles%\system\jbtmfqq。exe          (25240字节)
* @; C0 l/ N1 }          %CommonProgramFiles%\microsoft shared\ytbikec。exe                                (25240字节)
1 o' f2 T% _- {' R          在除系统盘根目录下
! J; n# K  f% ]          autorun.inf
# R4 ^) c0 J+ s6 h: u/ S; V          hsomklg.exe             (28672字节)
" ^5 L0 X* _8 i( Q3 F          %temp%目录下
. W; k: b' V3 {5 J% N- Y/ k          LYLOADER.EXE            (10196字节)
          LYMANGR.DLL              (2816字节)
# ?- B, Z- |5 n- ^. y) v          MSDEG32.DLL              (4999字节)
0 P3 S, E/ Z8 i/ n2 i' E' ?          ~SM3.tmp                (19504字节)
6 u/ p& J8 S/ [9 ^6 T          ~SM4.tmp                (19504字节)
          ~SM5.tmp                (19504字节)
          ~SM6.tmp                (19504字节)
          ~SM7.tmp                (19504字节)
          以上文件会采用添加自身到启动项或插入explorer.exe进程进行自我保护，还会下载其他盗取网游帐号的木马。
8 G% Q' t2 H4 @: ~4 N. w, O. r
[ 本帖最后由 steed 于 2007-6-20 23:24 编辑 ]

steed

二、解决方案：
8 X! U* a) f3 s0 t$ k$ V5 a- X: ^2 B           


' F5 _: z) O0 W$ d9 m    1、先找突破点。因为映像劫持(image File Execution Options Hijack)只是针对文件名，所以只要更改变文件名，就
1 \( B2 _  T5 X) I2 I8 N$ j  H      可以使它失效。为了防止刚清理的病毒又被重新生成或者安全软件不能使用。我们先解除映像支持，使用超级巡警中
6 T* r2 g8 o: {- B* v/ G/ ]      新发布的IFEO修复功能(“安全优化”中“系统修复”下的“Fix IFEO”) 即可。因为AST可能已经被映像劫持，所以
0 r) z0 D+ c7 A& N, U! {      推荐使用超级巡警团队针对此类病毒新推出的“ToolsLoader”(详见http://www.dswlab.com/d3.html)。


    2、清出内存病毒和病毒文件。找到加载到 explorer.exe 的dll文件(文件名应该与就是刚才记着的相同)，用超级巡警
" f# N* p, V/ m$ s& h      ToolsLoader卸载它。然后删除掉dll文件和同目录下的扩展名为dat的文件(因为病毒会监控以上文件的目录，所以推
      荐使用巡警中的“文件粉碎机”删除以上文件)。 然后用 win+e 打开资源管理器，找到根目录下的 autorun.inf 和
1 p- f( a" {6 E4 P. X) C7 R9 }& F      autorun.inf 里面记录的exe文件(注意： 不要双击盘符或单击盘符右键选打开，这样让autorun.inf失效，然后使用
0 X" v, `) A8 }( \. H- w3 h      巡警中的“文件粉碎机”删除这两个文件)。现在病毒的主文件已经都清理了。剩下的可以用病毒文件的文件名(不要
      扩展名)和病毒文件生成时间进行全盘搜索，找到的文件都删除掉。此病毒还会连接一些网站，下载大量盗号软件 ，
      这些盗号软件目的是盗取游戏程序或其他程序的帐号与密码，清除不会很复杂。它们一般都采用加载启动的方法，达
" t: R* I! P6 r      到开机运行的效果。所以只要删除了启动项及其对应的文件，就可解决。这些病毒文件产生的dll文件和垃圾文件 ，
: R, k! P5 _# [  j2 Q, \* q      就可以交给杀毒软件处理了。

( U3 O8 J% D2 X7 n! Z2 c3 f& U, c
3 n7 k4 R4 Y9 [. c7 W9 J    3、全面修复。修复隐藏属性：使[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
( S  H1 e+ {+ [  s% w      Explorer\Advanced\Folder\Hidden\SHOWALL]下的"CheckedValue"= dword:00000001。修复安全模式，可以用超级巡
      警的安全修复(“安全优化”中“系统修复”下的“Fix IFEO”)。也可以先在能进入安全模式的机器中导出
      HKLM\SYSTEM\ControSet001\Control\SafeBoot\
1 K* m' G4 ~  x6 Y6 M      HKLM\SYSTEM\ControSet003\Control\SafeBoot\
      HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\然后复制到本机上导入。
0 \; D- d; _" R. U/ `" y3 ?6 Y      修复映像劫持：这个在第一步已经做了。

. ~1 S# l. A7 U+ l) x4 \3 V
6 T$ u' F# _2 M  P2 d, A0 \    4、安全模式杀毒。确保杀毒软件升级到最新，确保打上了最新的系统补丁(用巡警的补丁检查功能，没打的补丁一定要
$ H9 d; N6 u7 n      打上)，进入安全模式(推荐断开网络)，使用超级巡警进行全盘扫描，彻底清除各种病毒。
; d: j5 ^8 S% _& t- y  H% k

    5、使用超级巡警屏蔽网站http://head.bodyhtml.biz

steed

6月8日，金山毒霸发布紧急预警，“AV终结者”病毒导致大量安全软件无法正常使用，用户系统安全面临严峻威胁；短短三天之后，6月12日，“AV终结者”危害行为变得更加恶劣，杀毒软件被禁用，反病毒网站无法打开，安全模式遭破坏，格式化系统盘后病毒仍无法清除，用户电脑的安全性被大大降低，电脑内的重要信息、机密文件、网络财产等面临严峻威胁。

　　金山毒霸反病毒专家戴光剑表示，“AV终结者”集目前最流行的病毒技术于一身，而且破坏过程经过了严密的“策划”，普通用户一旦感染该病毒，从病毒进入电脑，到实施破坏，四步就可导致用户电脑彻底崩溃：

  U2 Q: _% g: @9 q7 u' i; o　　1. 禁用所有杀毒软件以相关安全工具，让用户电脑失去安全保障；
4 o, K2 x) D& |# S9 u5 Y' }; Z; Z
2 ~" r7 M% `# |! e! u  y　　2.　破坏安全模式，致使用户根本无法进入安全模式清除病毒；
) `2 Q) h3 \2 A# c
* J2 ?( B5 V4 z  o) ~　　3.　强行关闭带有病毒字样的网页，只要在网页中输入“病毒”相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登陆，用户无法通过网络寻求解决办法；
- B: L( o7 B, r+ Q
8 k# J- b6 x- [　　4.　格式化系统盘重装后很容易被再次感染。用户格式化后，只要双击其他盘符，病毒将再次运行。

) s! ~, s( g: R( ^2 e+ D! s/ U　　经过“AV终结者”的精心“策划”，用户电脑的安全防御体系被彻底摧毁，安全性几乎为零，而“AV终结者”并未就此罢手，自动连接到某网站，大量下载数百种木马病毒，各类盗号木马、广告木马、风险程序用用户电脑毫无抵抗力的情况下，鱼贯而来，用户的网银、网游、QQ帐号密码以及机密文件都处于极度危险之中。
. [2 T* E& Y' M* Y; m3 F
　　据了解，“AV终结者”变种仍在不断更新，如果不即及时进行查杀，广大用户利益将面临更大威胁。基于“AV终结者”危害的严重性，金山毒霸呼吁所有反病毒厂商对该病毒进行联合绞杀。
" E% ]' M- {- F' u  w" w
　　根据该病毒的传播特点，基于该病毒危害严重，金山毒霸反病毒中心第一时间推出了专杀工具，用户利用专杀工具进行查杀，[立即下载专杀工具]。此外由于遭遇该病毒破坏的电脑无法登陆反病毒网站，用户可到正常电脑或全国各大软件专卖店下载“AV终结者”专杀工具，然后接到中毒电脑中进行查杀。
, ~8 o  Q2 d& F
　　同时，金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2007年6月8日免费下载最新版金山毒霸2007或使用金山毒霸在线杀毒来防止病毒入侵，拨打金山毒霸反病毒急救电话010—82331816反病毒专家将为您提供帮助。

steed

第1步：在能正常上网的电脑上登录金山毒霸网站，
+ a# o5 n$ [6 b" K下载AV终结者病毒专杀工具
适用平台：WinXP 更新版本：v3.7
工具大小：309 KB
工具说明：彻底清除AV终结者病毒
0 H: c' W' G, u# m  F1 Q第2步：在正常的电脑上禁止自动播放功能，避免插入U盘或移动硬盘而被病毒感染。[方法图示]
把AV终结者专杀工具从正常的电脑复制到U盘或移动硬盘上，然后再复制到中毒的电脑上。
第3步：执行AV终结者专杀工具，清除已知的病毒，修复被破坏的系统配置。
第4步：不要立即重启电脑，请先启动杀毒软件，升级病毒库，进行全盘扫描。以清除木马下载器下载的其它病毒。
  r$ p  Q4 `6 q: _. m3. 如何预防“AV终结者”病毒？
7 l0 b' G: f7 m( I1 _8 x因为AV终结者病毒一旦感染，清除过程相当复杂，可能不少用户就会去重装。我们建议用户不要轻易重装系统，使用我们推荐的步骤完成清除：
1. 使用金山网镖或Windows防火墙，可有效防止网络病毒通过黑客攻击手段入侵，
8 l2 E2 @! ?; x2 y- U2. 使用金山毒霸的漏洞修复功能或者windows update来修补系统漏洞，特别需要注意安装浏览器的最新补丁，
3. 升级杀毒软件，开启实时监控，
+ X) V- Z3 u3 ~( B/ m! b4 d$ W4. 网管采取综合措施防范ARP攻击挂马事件，有关ARP攻击的解决办法[详细]，
5. 关闭windows的自动播放功能。

=|HERO|=XIAOYAO

LZ有刷盾嫌疑……

steed

http://zhuansha.duba.net/259.shtml

中这个病毒，我头大了3天！
+ f" X1 X8 F3 s5 `
大家赶快采取防范措施！！！

steed

原帖由 =|HERO|=XIAOYAO@BF2 于 2007-6-20 23:19 发表
/ k: t; v( W+ [' w5 SLZ有刷盾嫌疑……

( F& I& t* I1 T$ l/ q! F/ E2 r) f
0 }! s- A+ y3 G好心当作驴肝肺！！！我要那点破盾干什么？
4 V9 {3 H1 `) U* l7 U
我曾经有六七年的工作文档全部被病毒删除，欲哭无泪。
7 e2 y2 C: Y1 V! U7 p1 _& ~; k
9 m8 y9 Q" J: {4 k8 ^, C' I# g我也不多解释，有同样经历的朋友会知道厉害的！
1 L3 E& Q* D, ^, S/ f1 v, \% Y
但愿[email==|HERO|=XIAOYAO@BF2]=|HERO|=XIAOYAO@BF2[/email] 别中了毒后悔来找这个帖子就好
  N: M" c% }% \) e5 k
6 w) ~; V3 d0 u% a) W希望管事的能加个亮，让更多的朋友看到，并做好防护措施。

尤其是存有重要资料的公用电脑。还有在网上炒股的朋友们……



[ 本帖最后由 steed 于 2007-6-20 23:37 编辑 ]

=|HERO|=..P_P..

妖装重..

=|HERO|=XIAOYAO

灭哈哈，那就感谢LZ分享……
' U0 r& t8 F6 t% D- }
我觉得我的电脑安全防护固若金汤，呵呵， 好的防火墙+杀毒软件， 还有好的操作习惯。