【導讀】“AV終結者”即＂帕蟲＂是一系列反擊殺毒軟件，破壞系統(tǒng)安全模式、“AV終結者”名稱中的“AV”即為英文“反病毒”。它能破壞大量的殺毒軟件和個人防火墻的正常監(jiān)控和保護功。能,導致用戶電腦的安全性能下降,容易受到病毒的侵襲。載并運行其他盜號病毒和惡意程序,嚴重威脅到用戶的網絡個人財產。此外,它還會造成電腦無法進入安全模式,并可通過可移動磁盤傳播。目前該病毒已經衍生多個新變種,有可能在互聯網上大范圍傳播。只要雙擊其他盤符，病毒將再次運行。安全防御體系被徹底摧毀，安全性幾乎為零。近日網絡上出現了一種破壞力及強的病毒“AV終結者”，不到一個月時。間，變種就已達到數百個之多，波及人群超過十幾萬人，這個病毒非常變態(tài)，病毒進程的主要作用是監(jiān)視。其次，要限制IFEO的讀寫權，達到限制病毒通過IFEO劫持殺。將administors用戶組和users用戶組的權限全部取消即可。

　　

【正文】 e\Microsoft\Windows\CurrentVersion\Policies\Explorer ? NoDriveTypeAutoRun ? 5． 修改以下注冊表項使得手動修改以下鍵值無效 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ ? Advanced\Folder\SuperHidden ? Type = radio ? 6． 添加以下注冊表項使得開機時，系統(tǒng)會把該動態(tài)庫注到大部分進程中 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\ ? Windows ? AppInit_DLLs = %SYSTEM%\. ? 7． 通過 calcs命令啟動病毒進程得到完全控制權限，使得其他進程無法訪問該進程。 ? 8．查找?guī)б韵玛P鍵字的窗口，如果找到則向其發(fā)消息將其退出： ? SREng 介紹、 360safe、 木、 antivir、 … ? ，動態(tài)庫被加載后會從以下網址下載病毒程序 ? 查找窗口” MCI Program Com Application”如果該窗口不存在則運行下載的程序。 ? ，迅速的繁殖，堵塞磁盤使進入不了磁盤，使其電腦崩潰，藍屏，自動關機，開機文件刪除。（開機 152H） ? 主要癥狀 系統(tǒng)運行緩慢、頻繁出現死機、藍屏、報錯等現象； 進程中出現兩個 ,且病毒進程的用戶名是當前登陸用戶名；（如果只有 1個 1個 ，且對應用戶名為 system，則是系統(tǒng)正常文件，請不用擔心） 殺毒軟件被破壞，多種安全軟件無法打開，安全站點無法訪問； 系統(tǒng)時間被篡改，無法進入安全模式，隱藏文件無法顯示； 病毒感染 .exe文件導致其圖標發(fā)生變化； 會對局域網發(fā)起 ARP攻擊，并篡改下載鏈接為病毒鏈接； 彈出釣魚網站 ? ATTRIB——修改文件屬性命令 ? 1．功能：修改指定文件的屬性。（文件屬性參見 （二）文件屬性一節(jié)） ? 2．類型：外部命令。 ? 3．格式： ATTRIB [文件名 ] [+R|R][+A|A][+H|H][+S|S][/S] ? 4．使用說明： ? （ 1）選用 +R參數，將指定文件設為只讀屬性，使得該文件只能讀取，無法寫入數據或刪除；選用 R參數，去除只讀屬性； ? （ 2）選用 +A參數，將文件設置為檔案屬性；選用 A參數，去除檔案屬性； ? （ 3）選用 +H參數，將文件調協為隱含屬性；選用 H參數，去隱含屬性； ? （ 4）選用 +S參數，將文件設置為系統(tǒng)屬性；選用 S參數，去除系統(tǒng)屬性； ? （ 5）選用 /S參數，對當前目錄下的所有子目錄及作設置。 ? 防范措施 ? 免疫方法 】 使用 360安全衛(wèi)士“清理惡評插件”功能先進行檢測，在彈出的免疫提示框中選擇確定 下載 360磁碟機病毒專殺工具，選擇“開啟免疫” 【 免疫原理 】 通過 host表屏蔽磁碟機病毒升級及下載站點 通過免疫文件保護防止磁碟機病毒文件創(chuàng)建 ? 解決辦法 ? 在某些沒有任何防御措施的電腦上，可能磁碟機專殺工具一運行就會被刪除。據調查，這種情況是多種病毒混合入侵導致。在這種極端情況下，我們可以嘗試的殺毒方案有： （很可能會失敗） 具體辦法：重啟前，從其它正常電腦 COPY已經升級到最新的殺毒軟件，簡單地把整個安裝目錄 COPY過來。安全模式下運行 ，或者在命令行下運行 kavdx。如果這個病毒不是很 BT的話，有希望搞定。 （ Winpe不易得到，不是所有人都有，需要的可以搜索一下到網上找。） WINPE啟動后，運行 kavdx （有多臺電腦的情況下，比較容易使用） 必須注意，在掛從盤殺毒前，正常的電腦務必使用金山清理專家的 U盤免疫功能，將所有磁盤的自動運行功能關閉，避免使用雙擊的方式訪問帶毒硬盤，禁用自動運行能大大減少中毒的風險（在這里咒罵微軟 10000遍，這個自動運行就是為傳播病毒準備的，除此之外，屁用都么有） ，前三個條件都不具備，手工殺毒又不會，那只有一招，把 C盤格了重裝吧，裝完切記，不要用雙擊打開其它磁盤或插入可能有毒的 U盤，先上網下載毒霸，升級到最新，使用清理專家的 U盤免疫器，禁用所有磁盤的自動運行。（繼續(xù)咒罵微軟 10000遍） ? 用改名大法將 system32和 dllcache目錄下的 （為安全起見，筆者使用了 WinRAR的資源管理功能），再重啟系統(tǒng)看看。 ? 用 WinRAR的資源管理功能改名 ? 重啟系統(tǒng)，檢查 system32和 dllcache目錄。發(fā)現改名后的 ，但 system32目錄下出現了一個怪怪的 (見下圖 )。這個 logo不同于正常的 ，這個就是病毒現從 I386目錄里找出來的！ ? 不管這些，先看看病毒文件能否手工刪除（如果那個 ，那么 ，病毒就會運行），結果所有病毒文件都可以被一一刪除了。 ? 刪除 system32目錄下那個異常的 。將 system32和 dllcache目錄下的 。 ? 注：此測試電腦只有一個分區(qū)，處理到這里，就完事了。但多分區(qū)系統(tǒng)（一般用戶都會有多個分區(qū)），非系統(tǒng)分區(qū)還會有病毒的，記得刪除其他幾個分區(qū)里的病毒，打開其他分區(qū)時點鼠標右鍵 →打開進入，而不是直接雙擊。最重要的，還是要用最新病毒庫的殺毒軟件全盤殺毒，切記！