病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« 一例自动关闭杀毒相关网页病毒的清除清除恶意网址diannaoqingjieji »

一例机器狗变种病毒

  检查SREng日志,发现注册表中userinit.exe、explorer.exe都没有通过微软的验证(Verified),怀疑被病毒替换,从进程中发现除了有C:\WINDOWS\explorer.exe这个进程外,还有C:\WINDOWS\system32\dllcache\explorer.exe,明显后者才是真正的explorer.exe,否则桌面的shell就出不来了。

  注册表启动项中还有一项:[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
     <{2f32e793-9263-4aa5-862f-da2480554715}><C:\WINDOWS\system32\JAA-JAA-1032.dll>,查了下JAA-JAA-1032.dll,说是机器狗的一个变种中的,不过没有找到机器狗传统施加的驱动文件,可能是还没放入,或已经被安全工具阻止或删除了。

  另外还有个进程c:\program files\internet explorer\plugins\nvsys_55.sys,也是病毒成员,一块处理吧。

  删除上面各项及文件,并将正常的explorer.exe和userinit.exe拷回去覆盖就可以了。explorer.exe倒简单,从C:\WINDOWS\system32\dllcache下拷出来就可以,userinit.exe也可以,就是不知道病毒有没有同时干掉C:\WINDOWS\system32\dllcache下的userinit.exe这个备份(可能性很大),反正大不了从其它正常的电脑上找就是。由于这两都是系统重要文件,可能直接覆盖不成功,解决方法很多,最简单的是用win pe光盘启动到PE系统后拷贝恢复(这种带win pe的工具盘很多,从网上下一个刻成光盘或做成启动U盘,是不错的工具),其他的不多说了。


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/42.html

发表评论(无须注册,所有评论在审核通过后显示):

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

  • 微信订阅号
    微信订阅

最新发表

最新评论及回复

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2020 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号