維修第六課-wenkub.com
2025-05-09 19:13 本頁面
【正文】 但多分區(qū)系統(tǒng)（一般用戶都會(huì)有多個(gè)分區(qū)），非系統(tǒng)分區(qū)還會(huì)有病毒的，記得刪除其他幾個(gè)分區(qū)里的病毒，打開其他分區(qū)時(shí)點(diǎn)鼠標(biāo)右鍵 →打開進(jìn)入，而不是直接雙擊。這個(gè) logo不同于正常的 ，這個(gè)就是病毒現(xiàn)從 I386目錄里找出來的！ ? 不管這些，先看看病毒文件能否手工刪除（如果那個(gè) ，那么 ，病毒就會(huì)運(yùn)行），結(jié)果所有病毒文件都可以被一一刪除了。） WINPE啟動(dòng)后，運(yùn)行 kavdx （有多臺(tái)電腦的情況下，比較容易使用） 必須注意，在掛從盤殺毒前，正常的電腦務(wù)必使用金山清理專家的 U盤免疫功能，將所有磁盤的自動(dòng)運(yùn)行功能關(guān)閉，避免使用雙擊的方式訪問帶毒硬盤，禁用自動(dòng)運(yùn)行能大大減少中毒的風(fēng)險(xiǎn)（在這里咒罵微軟 10000遍，這個(gè)自動(dòng)運(yùn)行就是為傳播病毒準(zhǔn)備的，除此之外，屁用都么有） ，前三個(gè)條件都不具備，手工殺毒又不會(huì)，那只有一招，把 C盤格了重裝吧，裝完切記，不要用雙擊打開其它磁盤或插入可能有毒的 U盤，先上網(wǎng)下載毒霸，升級(jí)到最新，使用清理專家的 U盤免疫器，禁用所有磁盤的自動(dòng)運(yùn)行。在這種極端情況下，我們可以嘗試的殺毒方案有： （很可能會(huì)失?。? 具體辦法：重啟前，從其它正常電腦 COPY已經(jīng)升級(jí)到最新的殺毒軟件，簡(jiǎn)單地把整個(gè)安裝目錄 COPY過來。（文件屬性參見 （二）文件屬性一節(jié)） ? 2．類型：外部命令。 ? 3． 遍歷進(jìn)程如果進(jìn)程名為 、 、 ，如果是其他進(jìn)程則創(chuàng)建一個(gè)線程，該線程每隔 2秒進(jìn)行以下操作： ? 1．修改以下鍵值使得用戶無法看到隱藏的受保護(hù)的系統(tǒng)文件 ? HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Explorer\Advanced ? ShowSuperHidden = 0 ? 2． 刪除以下注冊(cè)表鍵值使得用戶無法進(jìn)入安全模式 ? HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Minimal\ ? HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ ? HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Network\ ? HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ ? 3． 刪除以下注冊(cè)表項(xiàng)，使得鏡像劫持失效 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\ ? Image File Execution Options ? 4． 讀取以下注冊(cè)表鍵值，判斷當(dāng)前系統(tǒng)是否允許移動(dòng)設(shè)備自動(dòng)運(yùn)行，如果不允許則修改為允許 ? HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ? NoDriveTypeAutoRun ? 5． 修改以下注冊(cè)表項(xiàng)使得手動(dòng)修改以下鍵值無效 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ ? Advanced\Folder\SuperHidden ? Type = radio ? 6． 添加以下注冊(cè)表項(xiàng)使得開機(jī)時(shí)，系統(tǒng)會(huì)把該動(dòng)態(tài)庫注到大部分進(jìn)程中 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\ ? Windows ? AppInit_DLLs = %SYSTEM%\. ? 7． 通過 calcs命令啟動(dòng)病毒進(jìn)程得到完全控制權(quán)限，使得其他進(jìn)程無法訪問該進(jìn)程。 ? 3．把 C盤根目錄下命名為 ， 同時(shí)把該文件拷到啟動(dòng)目錄下實(shí)現(xiàn)自啟動(dòng)。 ? ? ，程序運(yùn)行后會(huì)進(jìn)行以下操作： ? 1．創(chuàng)建一個(gè)名為 xgahrez的互斥體，防止進(jìn)程中有多個(gè)實(shí)例運(yùn)行。 ? 4． 查找?guī)б韵玛P(guān)鍵字的窗口，查找?guī)б韵玛P(guān)鍵字的窗口，如果找到則向其發(fā)消息將其退出： RsRavMon、 McShield、 PAVSRV… ? 5． 啟動(dòng) ，把動(dòng)態(tài)庫 。 ? 然后該程序退出，運(yùn)行剛剛釋放的 。他千方百計(jì)隱藏自身的行蹤，普通用戶從表面看很難發(fā)現(xiàn)有中毒的痕跡，很多用戶中毒后尚不自知，除了感覺系統(tǒng)似乎變慢外無其它明顯異常癥狀。兩者都可以鏈接到惡意網(wǎng)頁下載木馬病毒，但在下載的木馬病毒數(shù)量上，“磁碟機(jī)”遠(yuǎn)超過“熊貓燒香”，“磁碟機(jī)”能夠下載二十余種木馬病毒，“熊貓燒香”只能下載一個(gè)或幾個(gè)木馬。利用光纖接入的服務(wù)器高速升級(jí)病毒體，迅速更新避免殺毒軟件查殺。病毒程序以系統(tǒng)級(jí)權(quán)限運(yùn)行， DLL組件會(huì)插入到系統(tǒng)中幾乎所有的進(jìn)程中加載運(yùn)行 (包括系統(tǒng)級(jí)權(quán)限的進(jìn)程 )。 ? 這一點(diǎn)上，“磁碟機(jī)”遠(yuǎn)遠(yuǎn)超過了“熊貓燒香”病毒，導(dǎo)致一些主動(dòng)防御功能不強(qiáng)的殺毒軟件紛紛被關(guān)閉，目前，“磁碟機(jī)”能夠關(guān)閉一些主流殺毒軟件，這也是為什么眾多企業(yè)在遇到“磁碟機(jī)”病毒時(shí)，整個(gè)局域網(wǎng)內(nèi)幾乎無一臺(tái)電腦幸免病毒之災(zāi)的原因。通過 U盤和感染網(wǎng)頁文件掛馬傳播，通過局域網(wǎng)傳播，通過攻破一些大型網(wǎng)站，采用在正常網(wǎng)頁上掛馬的方式傳播。 該病毒運(yùn)行后會(huì)在系統(tǒng)目錄中 COM目錄（默認(rèn)為c:\windows\system32\）下生成名為 及 。病毒執(zhí)行后，會(huì)刪除病毒主體文件。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1