|
运行后生成以下病毒文件，删除QQ文件，就连QQlive里的文件都给清空了！！(无论你的QQ在哪个盘里，包括系统盘，我的QQ就在系统盘）至于系统盘里还有没有别的文件被删除，现在还没有发现，我的QQ没有完全的删除，因为运行病毒的时候我的QQ正在登录，有些正在使用的文件就没有删除，但重启之后QQ就无法运行了！！
在卡饭样本区发现了这个病毒，这个病毒是以一个指向MS-DOS程序的快捷方式形式出现的，而不是exe等可执行文件的形式，这样的话就屏蔽了杀毒软件的右键扫描，如果大意的话是很容易中招的！！运行一下发现行为很恶劣，它会删除你除了系统盘以外所有盘符里的文件，就写了这个病毒报告，一来给大家做个警示！二来对中了这个病毒的人，给出个杀毒、修复和恢复文件的方法！
C:DocumentsandSettingsAllUsers「开始」菜单程序启动svchost.com
C:WINDOWSsystem32dllcachetaskmgr.exe
C:WINDOWSsystem32飞越星球.scr
C:WINDOWSsystem32wins.com
C:WINDOWSsystem32taskmgr.exe
C:DocumentsandSettingsAllUsersApplicationDataMicrosoftwin1ogon.exe
C:DocumentsandSettingsAdministratorLocalSettingsTempE_4krnln.fnr
D:SVCHOST.EXE
C:DocumentsandSettingsAdministrator桌面警告.h
D:警告.h
会在你的桌面和除系统盘以外的所以盘根目录下生成这个警告.h文件，这个警告文件里是这样写的：这是在桌面生成的
这是在D盘根目录下生成的（出系统盘外，我就有一个D盘^_^）
运行病毒完了就这样了
这个时候任务管理器打不开，运行打不开，关机关不了！
下面是这个病毒运行痕迹，用EQ监视的
2008-04-2420:54:53运行应用程序操作:允许
进程路径:C:WINDOWSExplorer.EXE
文件路径:D:硬盘终结者svchost.bmp.pif
触发规则:所有程序规则->*
2008-04-2420:55:24修改文件操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
文件路径:C:WINDOWSsystem32taskmgr.exe
触发规则:所有程序规则->系统文件->%WinDir%system32*.exe
2008-04-2420:55:54修改文件操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
文件路径:(隐藏文件>C:WINDOWSsystem32taskmgr.exe
触发规则:所有程序规则->系统文件->%WinDir%system32*.exe
2008-04-2420:56:38创建注册表值操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
注册表路径:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
注册表名称:svchost.exe
触发规则:所有程序规则->系统自动运行
>*SOFTWAREMicrosoftWindowsCurrentVersionRun*
2008-04-2420:57:08修改注册表内容操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
注册表路径:HKEY_CLASSES_ROOTtxtfileshellopencommand
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联
>HKEY_CLASSES_ROOTTxtfileShellOpenCommand
2008-04-2420:57:23修改注册表内容操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
注册表路径:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced
注册表名称:Hidden
触发规则:所有程序规则->系统设置
>HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced
2008-04-2420:57:34删除注册表操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
注册表路径:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHidden
注册表名称:SHOWALL
触发规则:所有程序规则->系统设置
>HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHidden
2008-04-2420:58:09安装服务或者驱动操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
文件路径:C:windowssystem32wins.com
触发规则:所有程序规则->*
2008-04-2420:58:46修改文件操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
文件路径:D:AutoRun.inf
触发规则:所有程序规则->系统文件->?:autorun.inf
2008-04-2420:59:26运行应用程序操作:允许
进程路径:D:硬盘终结者svchost.bmp.pif
文件路径:C:WINDOWSsystem32logoff.exe
触发规则:所有程序规则->*
2008-04-2421:00:55关闭/重启系统操作:允许
进程路径:C:WINDOWSsystem32logoff.exe
触发规则:所有程序规则->*
为了让这个病毒运行完整，达到它理想中的破坏目的，我一律允许，包括重启。
重启后就是杀毒和清理、修复依据恢复数据的过程了，重启后红伞打开（因为不把红伞的监控关掉，这个病毒是运行不了的！）马上报毒，开杀！（为了省事就没有手动删除，用红伞全盘扫描，杀掉所有病毒），杀完病毒还得修复病毒对系统的破坏，首先去别的系统里复制一个taskmgr.exe到系统盘的windowssystem32文件夹里，然后用SREngPS.exe修复文件关联后，这个文件关联是把txt指向C:DocumentsandSettingsAllUsersApplicationDataMicrosoftwin1ogon.exe，也就是当你打开txt文件就会激活病毒！再删除这项（见下图）
导入“显示隐藏文件.reg”（在2楼），因为我用wsyscheck修复显示隐藏文件后，隐藏的文件是显示了，但是文件夹选项里却缺了，显示所有文件和文件夹的这个选项（见下图）
在1里面没有了“显示所有文件和文件夹”的这个选项
2这个是我从来都不选的，它给我选上了^_^
删除注册表项
HKEY_LOCAL_MACHINESOFTWAREMICROSOFTWINDOWSCURRENTVERSIONRUN右侧的SVCHOST.EXE键值
删除注册表项
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpolicies下的所有子建，然后导入“恢复运行注销项.reg”（在3楼）到这里就所有的都修复完毕！重启！（如果在开始菜单还是不能重启的话，就用任务管理器重启，重启后就正常了）还有一点就是如果你的杀软不能完全的杀掉所有生成的病毒，就按照路径手动删除也可以！
重启后就是恢复被病毒删除的文件了，我是用“易我数据恢复向导V2.1.0”恢复的（整整浪费了我一个多小时 )但是一定要谨记，不能把恢复的文件恢复到正在恢复文件的盘里，而且也不能把文件恢复到别的需要恢复文件的盘里，（ （编辑：温州站长网）
【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!
|
