維修第六課-預(yù)覽頁(yè)
【正文】 、 C:\windows\隨機(jī)生成病毒名 .chm ? “AV終結(jié)者”的病毒名是由大寫(xiě)字母 +數(shù)字隨機(jī)組合而成 ，其長(zhǎng)度為 8位，可以說(shuō)生成同名病毒的概率是很低的?！?AV終結(jié)者”會(huì)使用戶電腦的安全防御體系被徹底摧毀，安全性幾乎為零。此外 ,它還會(huì)造成電腦無(wú)法進(jìn)入 安全模式 ,并可通過(guò)可移動(dòng)磁盤(pán)傳播。 AV終結(jié)者 ? “ AV終結(jié)者”即＂帕蟲(chóng)＂是一系列反擊殺毒軟件，破壞系統(tǒng)安全模式、植入木馬下載器的病毒，它指的是一批具備如下破壞性的病毒、木馬和蠕蟲(chóng)。同時(shí)它會(huì)下載并運(yùn)行其他盜號(hào)病毒和 惡意程序 ,嚴(yán)重威脅到用戶的網(wǎng)絡(luò)個(gè)人財(cái)產(chǎn)。用戶 格式化 后，只要雙擊其他盤(pán)符，病毒將再次運(yùn)行。 ? “ AV終結(jié)者”是由隨機(jī) 8位數(shù)字和字母組合而成的病毒 ,是閃存寄生病毒，它是通過(guò)閃存等存儲(chǔ)介質(zhì)或者注入服務(wù)器來(lái)實(shí)現(xiàn)的。 這是目前很多病毒熱衷的傳播方法，不少用戶也懂得刪除病毒生成的 ，但是當(dāng)我們進(jìn)入“文件夾選項(xiàng)里”，想顯示隱藏文件時(shí)，可以發(fā)現(xiàn)這里已經(jīng)被病毒給禁用了。當(dāng)殺毒軟件暫時(shí)失去作用時(shí)，病毒就會(huì)乘勝追擊，通過(guò)一種“映象劫持”技術(shù)將殺毒軟件徹底打入死牢。 ? 為了避免在“任務(wù)管理器”中露出破綻，病毒會(huì)將自己的進(jìn)程注入到系統(tǒng)的資源管理器進(jìn)程，這樣我就無(wú)法通過(guò)“任務(wù)管理器”發(fā)現(xiàn)病毒的進(jìn)程了。最重要的是，病毒會(huì)從網(wǎng)絡(luò)上下載大量盜號(hào)木馬，盜取用戶的游戲帳戶信息，這也是它的真正目的。根據(jù)上文中提供的路徑刪除所有的病毒文件。操作方法如下：開(kāi)始 ——運(yùn)行，輸入 regedit32，找到 HEKEYLOCALMACHINE\software\microsoft\windows NT\currentversion\image file execution options， 右擊此選項(xiàng)，在彈出的菜單中選擇“權(quán)限”，然后把 administrors用戶組和 users用戶組的權(quán)限全部取消即可。它通過(guò) U盤(pán)、 移動(dòng)硬盤(pán) 的自動(dòng)播放功能傳播，建議用戶暫時(shí)關(guān)閉電腦的這一功能。 1. 生成很多 8位數(shù)字或字母隨機(jī)命名的病毒程序文件，并在電腦開(kāi)機(jī)時(shí)自動(dòng)運(yùn)行。 ? 為該病毒的下一步破壞打開(kāi)方便之門(mén)。6. 當(dāng)前活動(dòng)窗口中有殺毒、安全、社區(qū)相關(guān)的關(guān)鍵字時(shí)，病毒會(huì)關(guān)閉這些窗口。這里要注意的是，很多用戶格式化系統(tǒng)分區(qū)后重裝，訪問(wèn)其它磁盤(pán)，立即再次中毒，用戶會(huì)感覺(jué)這病毒格式化也不管用。 ? ? 3. 即時(shí)更新殺毒軟件病毒庫(kù)，做到定時(shí) 升級(jí) ，定時(shí)殺毒。 ? 2. 在正常的電腦上禁止自動(dòng)播放功能，以避免通過(guò)插入 U盤(pán)或移動(dòng)硬盤(pán)而被病毒感染。） ? 4. 不要立即重啟電腦，然后啟動(dòng)殺毒軟件，升級(jí) 病毒庫(kù) ，進(jìn)行全盤(pán)掃描。然后雙擊打開(kāi) IceSword工具，結(jié)束一個(gè) 8位數(shù)字的 EXE文件的進(jìn)程，有時(shí)可能無(wú)該進(jìn)程。有時(shí)電腦中毒后可能無(wú)法查看隱藏文件，這時(shí)可以利用WinRar軟件的文件管理功能來(lái)瀏覽文件和進(jìn)行刪除操作。據(jù)360安全中心統(tǒng)計(jì)每日感染磁碟機(jī)病毒人數(shù)已逾100,1000用戶！“磁碟機(jī)”現(xiàn)已經(jīng)出現(xiàn) 100余個(gè)變種，目前病毒感染和傳播范圍正在呈現(xiàn)蔓延之勢(shì)。 病毒在每個(gè)磁盤(pán)下生成 文件，并每隔幾秒檢測(cè)文件是否存在，修改注冊(cè)表鍵值，破壞“顯示系統(tǒng)文件”功能。當(dāng)拷貝失敗后，病毒會(huì)調(diào)用 rd /s /q命令刪除原來(lái)的文件，再重新寫(xiě)入。由于該病毒編寫(xiě)存在一些問(wèn)題，可能會(huì)造成用戶安裝的軟件被損壞，無(wú)法使用。 ? “磁碟機(jī)”也可以通過(guò) U盤(pán)和網(wǎng)頁(yè)掛馬傳播，但目前尚沒(méi)有發(fā)現(xiàn)病毒作者通過(guò)攻破大型網(wǎng)站的方式掛馬傳播的案例，這也是目前“磁碟機(jī)”在傳播范圍上尚不及“熊貓燒香”的原因，但如果一旦病毒作者通過(guò)這種方式大面積傳播，后果將不堪設(shè)想。 ? 而“磁碟機(jī)”在自我保護(hù)和隱藏技術(shù)上幾乎無(wú)所不用其極，通過(guò)十余種技術(shù)來(lái)達(dá)到自我保護(hù)的目的。系統(tǒng)啟動(dòng)后再將 [啟動(dòng) ]文件夾中病毒主體刪除掉，實(shí)現(xiàn)既可隱蔽啟動(dòng)，又不被用戶發(fā)現(xiàn)的目的。 ? 反病毒專家甚至懷疑，“磁碟機(jī)”病毒使用了光纖接入的升級(jí)服務(wù)器，能夠?qū)崿F(xiàn)在下載量很大的情況下，病毒體也可以瞬間自動(dòng)完成更新。 ? 六、病毒的表現(xiàn)形式 ? 在表現(xiàn)形式上，“熊貓燒香”的表現(xiàn)十分明顯，感染可執(zhí)行文件生成“熊貓燒香”的圖案，十分易于判斷。 ? 病毒運(yùn)行原理 ? 病毒運(yùn)行后首先會(huì)在 C盤(pán)根目錄下釋放病毒驅(qū)動(dòng) ， 該驅(qū)動(dòng)用來(lái)恢復(fù) SSDT， 把殺毒軟件掛的鉤子全部卸掉。 ? 2． 生成名為” MCI Program Com Application”的窗口。 ? 7． 通過(guò) calcs命令啟動(dòng)病毒進(jìn)程得到完全控制權(quán)限，使得其他進(jìn)程無(wú)法訪問(wèn)該進(jìn)程。 ? 2． WM_TIMER： 該程序會(huì)設(shè)置一個(gè)時(shí)鐘，每隔 “ MCI Program Com Application”窗口，如果找不到則運(yùn)行病毒程序。動(dòng)態(tài)庫(kù)被加載后會(huì)進(jìn)行以下操作： ? 1． 判斷自己所在進(jìn)程是否是 、 、 ， 如果是則退出。 ? ，迅速的繁殖，堵塞磁盤(pán)使進(jìn)入不了磁盤(pán)，使其電腦崩潰，藍(lán)屏，自動(dòng)關(guān)機(jī)，開(kāi)機(jī)文件刪除。 ? 防范措施 ? 免疫方法 】 使用 360安全衛(wèi)士“清理惡評(píng)插件”功能先進(jìn)行檢測(cè)，在彈出的免疫提示框中選擇確定 下載 360磁碟機(jī)病毒專殺工具，選擇“開(kāi)啟免疫” 【 免疫原理 】 通過(guò) host表屏蔽磁碟機(jī)病毒升級(jí)及下載站點(diǎn) 通過(guò)免疫文件保護(hù)防止磁碟機(jī)病毒文件創(chuàng)建 ? 解決辦法 ? 在某些沒(méi)有任何防御措施的電腦上，可能磁碟機(jī)專殺工具一運(yùn)行就會(huì)被刪除。如果這個(gè)病毒不是很 BT的話，有希望搞定。 ? 用 WinRAR的資源管理功能改名 ? 重啟系統(tǒng)，檢查 system32和 dllcache目錄。將 system32和 dllcache目錄下的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1