找回密码
 注册创意安天

硬盘终结者病毒解决办法(附病毒样本)

[复制链接]
发表于 2009-8-22 19:13 | 显示全部楼层 |阅读模式
我会在楼下附上样本!但是没有事先做好准备绝对不可以运行!!否则你硬盘上的文件就都没了!!切记!!切记!!!

  
在卡饭样本区发现了这个病毒,这个病毒是以一个指向MS-DOS程序的快捷方式形式出现的,而不是exe等可执行文件的形式,这样的话就屏蔽了杀毒软件的右键扫描,如果大意的话是很容易中招的!!运行一下发现行为很恶劣,它会删除你除了系统盘以外所有盘符里的文件,就写了这个病毒报告,一来给大家做个警示!二来对中了这个病毒的人,给出个杀毒、修复和恢复文件的方法!

  运行后生成以下病毒文件,删除QQ文件,就连QQlive里的文件都给清空了!!(无论你的QQ在哪个盘里,包括系统盘,我的QQ就在系统盘)至于系统盘里还有没有别的文件被删除,现在还没有发现,我的QQ没有完全的删除,因为运行病毒的时候我的QQ正在登录,有些正在使用的文件就没有删除,但重启之后QQ就无法运行了!!

  C:\\DocumentsandSettings\\AllUsers\\「开始」菜单\\程序\\启动\\svchost.com

  C:\\WINDOWS\\system32\\dllcache\\taskmgr.exe

  C:\\WINDOWS\\system32\\飞越星球.scr

  C:\\WINDOWS\\system32\\wins.com

  C:\\WINDOWS\\system32\\taskmgr.exe

  C:\\DocumentsandSettings\\AllUsers\\ApplicationData\\Microsoft\\win1ogon.exe

  C:\\DocumentsandSettings\\Administrator\\LocalSettings\\Temp\\E_4\\krnln.fnr

  D:\\SVCHOST.EXE

  C:\\DocumentsandSettings\\Administrator\\桌面\\警告.h

  D:\\警告.h

  会在你的桌面和除系统盘以外的所以盘根目录下生成这个警告.h文件,这个警告文件里是这样写的:这是在桌面生成的

  

  

  这是在D盘根目录下生成的(出系统盘外,我就有一个D盘^_^)

  

  

  运行病毒完了就这样了

  

  

  这个时候任务管理器打不开,运行打不开,关机关不了!

  

  

  下面是这个病毒运行痕迹,用EQ监视的

  2008-04-2420:54:53运行应用程序操作:允许

  进程路径:C:\\WINDOWS\\Explorer.EXE

  文件路径:\\硬盘终结者\\svchost.bmp.pif

  触发规则:所有程序规则->*

  2008-04-2420:55:24修改文件操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  文件路径:C:\\WINDOWS\\system32\\taskmgr.exe

  触发规则:所有程序规则->系统文件->%WinDir%\\system32\\*.exe

  2008-04-2420:55:54修改文件操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  文件路径隐藏文件>C:\\WINDOWS\\system32\\taskmgr.exe

  触发规则:所有程序规则->系统文件->%WinDir%\\system32\\*.exe

  2008-04-2420:56:38创建注册表值操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  注册表路径:HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

  注册表名称:svchost.exe

  触发规则:所有程序规则->系统自动运行

  >*\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run*

  2008-04-2420:57:08修改注册表内容操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  注册表路径:HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command

  注册表名称:[Default]

  触发规则:所有程序规则->文件类型关联

  >HKEY_CLASSES_ROOT\\Txtfile\\Shell\\Open\\Command

  2008-04-2420:57:23修改注册表内容操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  注册表路径:

  HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced

  注册表名称:Hidden

  触发规则:所有程序规则->系统设置

  >HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced

  2008-04-2420:57:34删除注册表操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  注册表路径:

  HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden

  注册表名称:SHOWALL

  触发规则:所有程序规则->系统设置

  >HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden

  2008-04-2420:58:09安装服务或者驱动操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  文件路径:C:\\windows\\system32\\wins.com

  触发规则:所有程序规则->*

  2008-04-2420:58:46修改文件操作:允许

  进程路径:\\硬盘终结者\\svchost.bmp.pif

  文件路径:\\AutoRun.inf

  触发规则:所有程序规则->系统文件->?:\\autorun.inf

  2008-04-2420:59:26运行应用程序操作:允许

  进程路径:D:\\硬盘终结者\\svchost.bmp.pif

  文件路径:C:\\WINDOWS\\system32\\logoff.exe

  触发规则:所有程序规则->*

  2008-04-2421:00:55关闭/重启系统操作:允许

  进程路径:C:\\WINDOWS\\system32\\logoff.exe

  触发规则:所有程序规则->*

  为了让这个病毒运行完整,达到它理想中的破坏目的,我一律允许,包括重启。

  重启后就是杀毒和清理、修复依据恢复数据的过程了,重启后红伞打开(因为不把红伞的监控关掉,这个病毒是运行不了的!)马上报毒,开杀!(为了省事就没有手动删除,用红伞全盘扫描,杀掉所有病毒),杀完病毒还得修复病毒对系统的破坏,首先去别的系统里复制一个taskmgr.exe到系统盘的windows\\system32文件夹里,然后用SREngPS.exe修复文件关联后,这个文件关联是把txt指向C:\\DocumentsandSettings\\AllUsers\\ApplicationData\\Microsoft\\win1ogon.exe,也就是当你打开txt文件就会激活病毒!再删除这项(见下图)

  

  

  导入“显示隐藏文件.reg”(在2楼),因为我用wsyscheck修复显示隐藏文件后,隐藏的文件是显示了,但是文件夹选项里却缺了,显示所有文件和文件夹的这个选项(见下图)

  在1里面没有了“显示所有文件和文件夹”的这个选项

  2这个是我从来都不选的,它给我选上了^_^

  

  

  删除注册表项

  HKEY_LOCAL_MACHINE\\SOFTWARE\\MICROSOFT\\WINDOWS\\CURRENTVERSION\\RUN右侧的SVCHOST.EXE键值

  删除注册表项

  HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies下的所有子建,然后导入“恢复运行注销项.reg”(在3楼)到这里就所有的都修复完毕!重启!(如果在开始菜单还是不能重启的话,就用任务管理器重启,重启后就正常了)还有一点就是如果你的杀软不能完全的杀掉所有生成的病毒,就按照路径手动删除也可以!

  重启后就是恢复被病毒删除的文件了,我是用“易我数据恢复向导V2.1.0”恢复的(整整浪费了我一个多小时)但是一定要谨记,不能把恢复的文件恢复到正在恢复文件的盘里,而且也不能把文件恢复到别的需要恢复文件的盘里,(也就是你需要恢复文件的盘里一定不要再往里写入文件,否则会破坏你要恢复的文件,以至于恢复了文件也不可用了!!一定切记!!)

  最后:估计写病毒这哥们是个卖数据恢复软件的,要不怎么对删除文件这么感兴趣?!
您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

Archiver|手机版|小黑屋|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-12-22 14:30

Powered by Discuz! X3.5

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表