維修第六課-資料下載頁
2025-05-14 19:13本頁面
【導(dǎo)讀】“AV終結(jié)者”即＂帕蟲＂是一系列反擊殺毒軟件，破壞系統(tǒng)安全模式、“AV終結(jié)者”名稱中的“AV”即為英文“反病毒”。它能破壞大量的殺毒軟件和個(gè)人防火墻的正常監(jiān)控和保護(hù)功。能,導(dǎo)致用戶電腦的安全性能下降,容易受到病毒的侵襲。載并運(yùn)行其他盜號(hào)病毒和惡意程序,嚴(yán)重威脅到用戶的網(wǎng)絡(luò)個(gè)人財(cái)產(chǎn)。此外,它還會(huì)造成電腦無法進(jìn)入安全模式,并可通過可移動(dòng)磁盤傳播。目前該病毒已經(jīng)衍生多個(gè)新變種,有可能在互聯(lián)網(wǎng)上大范圍傳播。只要雙擊其他盤符，病毒將再次運(yùn)行。安全防御體系被徹底摧毀，安全性幾乎為零。近日網(wǎng)絡(luò)上出現(xiàn)了一種破壞力及強(qiáng)的病毒“AV終結(jié)者”，不到一個(gè)月時(shí)。間，變種就已達(dá)到數(shù)百個(gè)之多，波及人群超過十幾萬人，這個(gè)病毒非常變態(tài)，病毒進(jìn)程的主要作用是監(jiān)視。其次，要限制IFEO的讀寫權(quán)，達(dá)到限制病毒通過IFEO劫持殺。將administors用戶組和users用戶組的權(quán)限全部取消即可。
【正文】 e\Microsoft\Windows\CurrentVersion\Policies\Explorer ? NoDriveTypeAutoRun ? 5． 修改以下注冊(cè)表項(xiàng)使得手動(dòng)修改以下鍵值無效 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ ? Advanced\Folder\SuperHidden ? Type = radio ? 6． 添加以下注冊(cè)表項(xiàng)使得開機(jī)時(shí)，系統(tǒng)會(huì)把該動(dòng)態(tài)庫注到大部分進(jìn)程中 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\ ? Windows ? AppInit_DLLs = %SYSTEM%\. ? 7． 通過 calcs命令啟動(dòng)病毒進(jìn)程得到完全控制權(quán)限，使得其他進(jìn)程無法訪問該進(jìn)程。 ? 8．查找?guī)б韵玛P(guān)鍵字的窗口，如果找到則向其發(fā)消息將其退出： ? SREng 介紹、 360safe、 木、 antivir、 … ? ，動(dòng)態(tài)庫被加載后會(huì)從以下網(wǎng)址下載病毒程序 ? 查找窗口” MCI Program Com Application”如果該窗口不存在則運(yùn)行下載的程序。 ? ，迅速的繁殖，堵塞磁盤使進(jìn)入不了磁盤，使其電腦崩潰，藍(lán)屏，自動(dòng)關(guān)機(jī)，開機(jī)文件刪除。（開機(jī) 152H） ? 主要癥狀 系統(tǒng)運(yùn)行緩慢、頻繁出現(xiàn)死機(jī)、藍(lán)屏、報(bào)錯(cuò)等現(xiàn)象； 進(jìn)程中出現(xiàn)兩個(gè) ,且病毒進(jìn)程的用戶名是當(dāng)前登陸用戶名；（如果只有 1個(gè) 1個(gè) ，且對(duì)應(yīng)用戶名為 system，則是系統(tǒng)正常文件，請(qǐng)不用擔(dān)心） 殺毒軟件被破壞，多種安全軟件無法打開，安全站點(diǎn)無法訪問； 系統(tǒng)時(shí)間被篡改，無法進(jìn)入安全模式，隱藏文件無法顯示； 病毒感染 .exe文件導(dǎo)致其圖標(biāo)發(fā)生變化； 會(huì)對(duì)局域網(wǎng)發(fā)起 ARP攻擊，并篡改下載鏈接為病毒鏈接； 彈出釣魚網(wǎng)站 ? ATTRIB——修改文件屬性命令 ? 1．功能：修改指定文件的屬性。（文件屬性參見 （二）文件屬性一節(jié)） ? 2．類型：外部命令。 ? 3．格式： ATTRIB [文件名 ] [+R|R][+A|A][+H|H][+S|S][/S] ? 4．使用說明： ? （ 1）選用 +R參數(shù)，將指定文件設(shè)為只讀屬性，使得該文件只能讀取，無法寫入數(shù)據(jù)或刪除；選用 R參數(shù)，去除只讀屬性； ? （ 2）選用 +A參數(shù)，將文件設(shè)置為檔案屬性；選用 A參數(shù)，去除檔案屬性； ? （ 3）選用 +H參數(shù)，將文件調(diào)協(xié)為隱含屬性；選用 H參數(shù)，去隱含屬性； ? （ 4）選用 +S參數(shù)，將文件設(shè)置為系統(tǒng)屬性；選用 S參數(shù)，去除系統(tǒng)屬性； ? （ 5）選用 /S參數(shù)，對(duì)當(dāng)前目錄下的所有子目錄及作設(shè)置。 ? 防范措施 ? 免疫方法 】 使用 360安全衛(wèi)士“清理惡評(píng)插件”功能先進(jìn)行檢測(cè)，在彈出的免疫提示框中選擇確定 下載 360磁碟機(jī)病毒專殺工具，選擇“開啟免疫” 【 免疫原理 】 通過 host表屏蔽磁碟機(jī)病毒升級(jí)及下載站點(diǎn) 通過免疫文件保護(hù)防止磁碟機(jī)病毒文件創(chuàng)建 ? 解決辦法 ? 在某些沒有任何防御措施的電腦上，可能磁碟機(jī)專殺工具一運(yùn)行就會(huì)被刪除。據(jù)調(diào)查，這種情況是多種病毒混合入侵導(dǎo)致。在這種極端情況下，我們可以嘗試的殺毒方案有： （很可能會(huì)失?。? 具體辦法：重啟前，從其它正常電腦 COPY已經(jīng)升級(jí)到最新的殺毒軟件，簡(jiǎn)單地把整個(gè)安裝目錄 COPY過來。安全模式下運(yùn)行 ，或者在命令行下運(yùn)行 kavdx。如果這個(gè)病毒不是很 BT的話，有希望搞定。 （ Winpe不易得到，不是所有人都有，需要的可以搜索一下到網(wǎng)上找。） WINPE啟動(dòng)后，運(yùn)行 kavdx （有多臺(tái)電腦的情況下，比較容易使用） 必須注意，在掛從盤殺毒前，正常的電腦務(wù)必使用金山清理專家的 U盤免疫功能，將所有磁盤的自動(dòng)運(yùn)行功能關(guān)閉，避免使用雙擊的方式訪問帶毒硬盤，禁用自動(dòng)運(yùn)行能大大減少中毒的風(fēng)險(xiǎn)（在這里咒罵微軟 10000遍，這個(gè)自動(dòng)運(yùn)行就是為傳播病毒準(zhǔn)備的，除此之外，屁用都么有） ，前三個(gè)條件都不具備，手工殺毒又不會(huì)，那只有一招，把 C盤格了重裝吧，裝完切記，不要用雙擊打開其它磁盤或插入可能有毒的 U盤，先上網(wǎng)下載毒霸，升級(jí)到最新，使用清理專家的 U盤免疫器，禁用所有磁盤的自動(dòng)運(yùn)行。（繼續(xù)咒罵微軟 10000遍） ? 用改名大法將 system32和 dllcache目錄下的 （為安全起見，筆者使用了 WinRAR的資源管理功能），再重啟系統(tǒng)看看。 ? 用 WinRAR的資源管理功能改名 ? 重啟系統(tǒng)，檢查 system32和 dllcache目錄。發(fā)現(xiàn)改名后的 ，但 system32目錄下出現(xiàn)了一個(gè)怪怪的 (見下圖 )。這個(gè) logo不同于正常的 ，這個(gè)就是病毒現(xiàn)從 I386目錄里找出來的！ ? 不管這些，先看看病毒文件能否手工刪除（如果那個(gè) ，那么 ，病毒就會(huì)運(yùn)行），結(jié)果所有病毒文件都可以被一一刪除了。 ? 刪除 system32目錄下那個(gè)異常的 。將 system32和 dllcache目錄下的 。 ? 注：此測(cè)試電腦只有一個(gè)分區(qū)，處理到這里，就完事了。但多分區(qū)系統(tǒng)（一般用戶都會(huì)有多個(gè)分區(qū)），非系統(tǒng)分區(qū)還會(huì)有病毒的，記得刪除其他幾個(gè)分區(qū)里的病毒，打開其他分區(qū)時(shí)點(diǎn)鼠標(biāo)右鍵 →打開進(jìn)入，而不是直接雙擊。最重要的，還是要用最新病毒庫的殺毒軟件全盤殺毒，切記！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1