硬盘终结者病毒解决办法（附病毒样本）
我会在楼下附上样本！但是没有事先做好准备绝对不可以运行！！否则你硬盘上的文件就都没了！！切记！！切记！！！在卡饭样本区发现了这个病毒，这个病毒是以一个指向MS-DOS程序的快捷方式形式出现的，而不是exe等可执行文件的形式，这样的话就屏蔽了杀毒软件的右键扫描，如果大意的话是很容易中招的！！运行一下发现行为很恶劣，它会删除你除了系统盘以外所有盘符里的文件，就写了这个病毒报告，一来给大家做个警示！二来对中了这个病毒的人，给出个杀毒、修复和恢复文件的方法！
运行后生成以下病毒文件，删除QQ文件，就连QQlive里的文件都给清空了！！(无论你的QQ在哪个盘里，包括系统盘，我的QQ就在系统盘）至于系统盘里还有没有别的文件被删除，现在还没有发现，我的QQ没有完全的删除，因为运行病毒的时候我的QQ正在登录，有些正在使用的文件就没有删除，但重启之后QQ就无法运行了！！
C:\\DocumentsandSettings\\AllUsers\\「开始」菜单\\程序\\启动\\svchost.com
C:\\WINDOWS\\system32\\dllcache\\taskmgr.exe
C:\\WINDOWS\\system32\\飞越星球.scr
C:\\WINDOWS\\system32\\wins.com
C:\\WINDOWS\\system32\\taskmgr.exe
C:\\DocumentsandSettings\\AllUsers\\ApplicationData\\Microsoft\\win1ogon.exe
C:\\DocumentsandSettings\\Administrator\\LocalSettings\\Temp\\E_4\\krnln.fnr
D:\\SVCHOST.EXE
C:\\DocumentsandSettings\\Administrator\\桌面\\警告.h
D:\\警告.h
会在你的桌面和除系统盘以外的所以盘根目录下生成这个警告.h文件，这个警告文件里是这样写的：这是在桌面生成的
http://pimg.qihoo.com/qhimg/baike/218_215/19/04/e2/1904e23q11988c.4acd77.jpg
这是在D盘根目录下生成的（出系统盘外，我就有一个D盘^_^）
http://pimg.qihoo.com/qhimg/baike/623_344/18/04/34/180434cq11971e.6095cd.jpg
运行病毒完了就这样了
http://pimg.qihoo.com/qhimg/baike/676_478/11/02/63/1102635q118951.4fdb10.jpg
这个时候任务管理器打不开，运行打不开，关机关不了！
http://pimg.qihoo.com/qhimg/baike/452_155/1b/03/13/1b0313fq1149e0.d3d1b3.jpg
下面是这个病毒运行痕迹，用EQ监视的
2008-04-2420:54:53运行应用程序操作:允许
进程路径:C:\\WINDOWS\\Explorer.EXE
文件路径:D:\\硬盘终结者\\svchost.bmp.pif
触发规则:所有程序规则->*
2008-04-2420:55:24修改文件操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
文件路径:C:\\WINDOWS\\system32\\taskmgr.exe
触发规则:所有程序规则->系统文件->%WinDir%\\system32\\*.exe
2008-04-2420:55:54修改文件操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
文件路径:(隐藏文件>C:\\WINDOWS\\system32\\taskmgr.exe
触发规则:所有程序规则->系统文件->%WinDir%\\system32\\*.exe
2008-04-2420:56:38创建注册表值操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
注册表路径:HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
注册表名称:svchost.exe
触发规则:所有程序规则->系统自动运行
>*\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run*
2008-04-2420:57:08修改注册表内容操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
注册表路径:HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command
注册表名称:
触发规则:所有程序规则->文件类型关联
>HKEY_CLASSES_ROOT\\Txtfile\\Shell\\Open\\Command
2008-04-2420:57:23修改注册表内容操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
注册表路径:
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced
注册表名称:Hidden
触发规则:所有程序规则->系统设置
>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced
2008-04-2420:57:34删除注册表操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
注册表路径:
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden
注册表名称:SHOWALL
触发规则:所有程序规则->系统设置
>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden
2008-04-2420:58:09安装服务或者驱动操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
文件路径:C:\\windows\\system32\\wins.com
触发规则:所有程序规则->*
2008-04-2420:58:46修改文件操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
文件路径:D:\\AutoRun.inf
触发规则:所有程序规则->系统文件->?:\\autorun.inf
2008-04-2420:59:26运行应用程序操作:允许
进程路径:D:\\硬盘终结者\\svchost.bmp.pif
文件路径:C:\\WINDOWS\\system32\\logoff.exe
触发规则:所有程序规则->*
2008-04-2421:00:55关闭/重启系统操作:允许
进程路径:C:\\WINDOWS\\system32\\logoff.exe
触发规则:所有程序规则->*
为了让这个病毒运行完整，达到它理想中的破坏目的，我一律允许，包括重启。
重启后就是杀毒和清理、修复依据恢复数据的过程了，重启后红伞打开（因为不把红伞的监控关掉，这个病毒是运行不了的！）马上报毒，开杀！（为了省事就没有手动删除，用红伞全盘扫描，杀掉所有病毒），杀完病毒还得修复病毒对系统的破坏，首先去别的系统里复制一个taskmgr.exe到系统盘的windows\\system32文件夹里，然后用SREngPS.exe修复文件关联后，这个文件关联是把txt指向C:\\DocumentsandSettings\\AllUsers\\ApplicationData\\Microsoft\\win1ogon.exe，也就是当你打开txt文件就会激活病毒！再删除这项（见下图）
http://pimg.qihoo.com/qhimg/baike/692_474/1b/02/e3/1b02e3fq1186fa.5ff8e7.jpg
导入“显示隐藏文件.reg”（在2楼），因为我用wsyscheck修复显示隐藏文件后，隐藏的文件是显示了，但是文件夹选项里却缺了，显示所有文件和文件夹的这个选项（见下图）
在1里面没有了“显示所有文件和文件夹”的这个选项
2这个是我从来都不选的，它给我选上了^_^
http://pimg.qihoo.com/qhimg/baike/381_460/1d/02/1f/1d021fq118c18.933b07.jpg
删除注册表项
HKEY_LOCAL_MACHINE\\SOFTWARE\\MICROSOFT\\WINDOWS\\CURRENTVERSION\\RUN右侧的SVCHOST.EXE键值
删除注册表项
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies下的所有子建，然后导入“恢复运行注销项.reg”（在3楼）到这里就所有的都修复完毕！重启！（如果在开始菜单还是不能重启的话，就用任务管理器重启，重启后就正常了）还有一点就是如果你的杀软不能完全的杀掉所有生成的病毒，就按照路径手动删除也可以！
重启后就是恢复被病毒删除的文件了，我是用“易我数据恢复向导V2.1.0”恢复的（整整浪费了我一个多小时http://gp.qihoo.com/pic/1702f59q2385.gif)但是一定要谨记，不能把恢复的文件恢复到正在恢复文件的盘里，而且也不能把文件恢复到别的需要恢复文件的盘里，（也就是你需要恢复文件的盘里一定不要再往里写入文件，否则会破坏你要恢复的文件，以至于恢复了文件也不可用了！！一定切记！！）
最后：估计写病毒这哥们是个卖数据恢复软件的，要不怎么对删除文件这么感兴趣？！
页:
[1]