維修第六課-閱讀頁
2025-06-08 19:13本頁面
【正文】 息將其退出： RsRavMon、 McShield、 PAVSRV… ? 5． 啟動(dòng) ，把動(dòng)態(tài)庫 。 ? 7． 通過 calcs命令啟動(dòng)病毒進(jìn)程得到完全控制權(quán)限，使得其他進(jìn)程無法訪問該進(jìn)程。 ? ? ，程序運(yùn)行后會(huì)進(jìn)行以下操作： ? 1．創(chuàng)建一個(gè)名為 xgahrez的互斥體，防止進(jìn)程中有多個(gè)實(shí)例運(yùn)行。 ? 2． WM_TIMER： 該程序會(huì)設(shè)置一個(gè)時(shí)鐘，每隔 “ MCI Program Com Application”窗口，如果找不到則運(yùn)行病毒程序。 ? 3．把 C盤根目錄下命名為 ， 同時(shí)把該文件拷到啟動(dòng)目錄下實(shí)現(xiàn)自啟動(dòng)。動(dòng)態(tài)庫被加載后會(huì)進(jìn)行以下操作： ? 1． 判斷自己所在進(jìn)程是否是 、 、 ， 如果是則退出。 ? 3． 遍歷進(jìn)程如果進(jìn)程名為 、 、 ，如果是其他進(jìn)程則創(chuàng)建一個(gè)線程，該線程每隔 2秒進(jìn)行以下操作： ? 1．修改以下鍵值使得用戶無法看到隱藏的受保護(hù)的系統(tǒng)文件 ? HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Explorer\Advanced ? ShowSuperHidden = 0 ? 2． 刪除以下注冊(cè)表鍵值使得用戶無法進(jìn)入安全模式 ? HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Minimal\ ? HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ ? HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Network\ ? HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ ? 3． 刪除以下注冊(cè)表項(xiàng)，使得鏡像劫持失效 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\ ? Image File Execution Options ? 4． 讀取以下注冊(cè)表鍵值，判斷當(dāng)前系統(tǒng)是否允許移動(dòng)設(shè)備自動(dòng)運(yùn)行，如果不允許則修改為允許 ? HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ? NoDriveTypeAutoRun ? 5． 修改以下注冊(cè)表項(xiàng)使得手動(dòng)修改以下鍵值無效 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ ? Advanced\Folder\SuperHidden ? Type = radio ? 6． 添加以下注冊(cè)表項(xiàng)使得開機(jī)時(shí)，系統(tǒng)會(huì)把該動(dòng)態(tài)庫注到大部分進(jìn)程中 ? HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\ ? Windows ? AppInit_DLLs = %SYSTEM%\. ? 7． 通過 calcs命令啟動(dòng)病毒進(jìn)程得到完全控制權(quán)限，使得其他進(jìn)程無法訪問該進(jìn)程。 ? ，迅速的繁殖，堵塞磁盤使進(jìn)入不了磁盤，使其電腦崩潰，藍(lán)屏，自動(dòng)關(guān)機(jī)，開機(jī)文件刪除。（文件屬性參見 （二）文件屬性一節(jié)） ? 2．類型：外部命令。 ? 防范措施 ? 免疫方法 】 使用 360安全衛(wèi)士“清理惡評(píng)插件”功能先進(jìn)行檢測(cè)，在彈出的免疫提示框中選擇確定 下載 360磁碟機(jī)病毒專殺工具，選擇“開啟免疫” 【 免疫原理 】 通過 host表屏蔽磁碟機(jī)病毒升級(jí)及下載站點(diǎn) 通過免疫文件保護(hù)防止磁碟機(jī)病毒文件創(chuàng)建 ? 解決辦法 ? 在某些沒有任何防御措施的電腦上，可能磁碟機(jī)專殺工具一運(yùn)行就會(huì)被刪除。在這種極端情況下，我們可以嘗試的殺毒方案有： （很可能會(huì)失?。? 具體辦法：重啟前，從其它正常電腦 COPY已經(jīng)升級(jí)到最新的殺毒軟件，簡單地把整個(gè)安裝目錄 COPY過來。如果這個(gè)病毒不是很 BT的話，有希望搞定。） WINPE啟動(dòng)后，運(yùn)行 kavdx （有多臺(tái)電腦的情況下，比較容易使用） 必須注意，在掛從盤殺毒前，正常的電腦務(wù)必使用金山清理專家的 U盤免疫功能，將所有磁盤的自動(dòng)運(yùn)行功能關(guān)閉，避免使用雙擊的方式訪問帶毒硬盤，禁用自動(dòng)運(yùn)行能大大減少中毒的風(fēng)險(xiǎn)（在這里咒罵微軟 10000遍，這個(gè)自動(dòng)運(yùn)行就是為傳播病毒準(zhǔn)備的，除此之外，屁用都么有） ，前三個(gè)條件都不具備，手工殺毒又不會(huì)，那只有一招，把 C盤格了重裝吧，裝完切記，不要用雙擊打開其它磁盤或插入可能有毒的 U盤，先上網(wǎng)下載毒霸，升級(jí)到最新，使用清理專家的 U盤免疫器，禁用所有磁盤的自動(dòng)運(yùn)行。 ? 用 WinRAR的資源管理功能改名 ? 重啟系統(tǒng)，檢查 system32和 dllcache目錄。這個(gè) logo不同于正常的 ，這個(gè)就是病毒現(xiàn)從 I386目錄里找出來的！ ? 不管這些，先看看病毒文件能否手工刪除（如果那個(gè) ，那么 ，病毒就會(huì)運(yùn)行），結(jié)果所有病毒文件都可以被一一刪除了。將 system32和 dllcache目錄下的 。但多分區(qū)系統(tǒng)（一般用戶都會(huì)有多個(gè)分區(qū)），非系統(tǒng)分區(qū)還會(huì)有病毒的，記得刪除其他幾個(gè)分區(qū)里的病毒，打開其他分區(qū)時(shí)點(diǎn)鼠標(biāo)右鍵 →打開進(jìn)入，而不是直接雙擊
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1