我的電腦中了一個(gè)奇怪的病毒我的電腦中了奇怪的病毒

我的電腦中了一個(gè)奇怪的病毒我的電腦中了一個(gè)很奇怪的病毒

“帕蟲(chóng)”（瑞星），AV終結(jié)者（金山命名）病毒的幾種解決方法

最近“帕蟲(chóng)”（瑞星），AV終結(jié)者（金山命名）蠻流行的，其實(shí)就是7、8位字符病毒。我們民間的菜鳥(niǎo)管它叫“隨機(jī)字母、數(shù)字病毒”。貌似反病毒論壇每天都有人因?yàn)檫@個(gè)病毒求助，我也跟該病毒打過(guò)幾次照面了，覺(jué)得沒(méi)什么特別的，現(xiàn)在將它們病毒的技術(shù)做簡(jiǎn)單介紹，并附上幾個(gè)破解方法。

Autorun.inf

一個(gè)暗藏殺機(jī)的文本格式，以至于有些殺軟都加入病毒庫(kù)，傳播U盤(pán)病毒的罪魁禍?zhǔn)祝芏嗲闆r下我們把它視為敵人，如果配合系統(tǒng)默認(rèn)的"自動(dòng)播放"功能,那激活病毒的機(jī)率將會(huì)是100%。

關(guān)閉自動(dòng)播放功能：計(jì)算機(jī)配置—管理模板—系統(tǒng)—停用自動(dòng)播放—設(shè)置為“已啟用”—選上所有驅(qū)動(dòng)器—確定，至于Autorun.inf，可以下載U盤(pán)免疫工具。

線程插入

全名叫“遠(yuǎn)程創(chuàng)建線程”。這樣的病毒通常是Dll格式的文件，可能依附系統(tǒng)服務(wù)\EXE載體\Rundll32.exe\注冊(cè)表插入進(jìn)程。那么除非用第三方工具，否則無(wú)法發(fā)現(xiàn)宿主內(nèi)的dll病毒，因?yàn)檫M(jìn)程管理器里毫無(wú)異常。這種技術(shù)在木馬界應(yīng)用非常廣泛，具有一定的隱蔽性。8位字符病毒就是利用這個(gè)技術(shù)，使得無(wú)法在進(jìn)程里直接發(fā)現(xiàn)，給查殺工作帶來(lái)難度。

我們可以下載第三方工具，可以查看進(jìn)程模塊的，推薦用冰刃。主要檢測(cè)Explorer進(jìn)程模塊，該進(jìn)程是木馬常聚集的場(chǎng)所，應(yīng)當(dāng)特別留意。最好可以配合SREng日志查看，那樣會(huì)更容易辨認(rèn)。

另：增強(qiáng)版的冰刃該病毒并無(wú)法關(guān)閉，同時(shí)IFEO劫持亦無(wú)效。

IFEO重定向劫持

最近被濫用的技術(shù)，在知名的安全工具就Autoruns能追蹤到（新版本的SREng同樣具有IFEO檢測(cè)能力），為此我還曾寫(xiě)過(guò)一篇防御方法。可惜的是并沒(méi)有人愿意去看```

IFEO其實(shí)是位于注冊(cè)表：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\

下的Image File Execution Options（簡(jiǎn)寫(xiě)為IFEO）

這個(gè)項(xiàng)主要是用來(lái)調(diào)試程序（防止溢出），一般用戶根本用不到。默認(rèn)是只有管理員和local system能讀寫(xiě)修改。假設(shè)在這個(gè)項(xiàng)新建個(gè)“Filename.exe”,鍵值為Debugger，指向的是另一個(gè)程序（virus.exe)路徑的話，那么運(yùn)行A程序的時(shí)候，會(huì)執(zhí)行B，這就是重定向劫持。

打開(kāi)注冊(cè)表，展開(kāi)到IFEO，設(shè)置權(quán)限，只讀不允許寫(xiě)入就可以了。（如果程序運(yùn)行提示找不到的話，不妨改個(gè)名字試試）

HOOK

這個(gè)是類似于“監(jiān)聽(tīng)”的技術(shù)，翻譯意思為“鉤子”，我遇到的一個(gè)變種使用的是WH_CALLWNDPROC鉤子，由常駐進(jìn)程的8位隨機(jī)數(shù)字.dll釋放的鉤子，通過(guò)攔截一些敏感的信息并在程序調(diào)用中做了修改。不過(guò)它并不是修改信息，而是直接關(guān)閉一些過(guò)濾的“關(guān)鍵字”。

直接刪掉對(duì)應(yīng)的Dll病毒就可以了，一般用SREng日志可以檢測(cè)出來(lái)。

Rootkit

在我發(fā)現(xiàn)的AV變種中,發(fā)現(xiàn)一個(gè)木馬群使用這個(gè)(Rootkit)技術(shù),是7位隨機(jī)病毒帶來(lái)的,并實(shí)現(xiàn)三進(jìn)程守護(hù)!

這個(gè)技術(shù)在木馬界更多的是應(yīng)用在隱藏上，最典型的應(yīng)屬灰鴿子(也可能是Hook)，一個(gè)合格的RK可以讓屬于自己的文件（包括進(jìn)程）人間蒸發(fā)。最常見(jiàn)的是修改枚舉進(jìn)程API，使API返回的數(shù)據(jù)總是“遺漏”（病毒）自身進(jìn)程的信息，那么在進(jìn)程里當(dāng)然就不能發(fā)現(xiàn)了。也有一種類似的技術(shù)，通過(guò)抹殺“進(jìn)程信息表”的自身信息進(jìn)行隱藏。從而也達(dá)到隱藏的目的，不過(guò)該技術(shù)設(shè)計(jì)上缺陷和平臺(tái)的通用，貌似相當(dāng)稀少。（至少我沒(méi)遇到過(guò)）

我們可以通過(guò)一些反RK的工具，居于RK的技術(shù)，反RK工具不一定能蓋過(guò)對(duì)方，最好的方法只能預(yù)防。一些常用的反RK有偌頓的RootkitRevealer，IS、Gmer和AVG的Anti-Rootkit Free。

ARP掛馬

這個(gè)不是重點(diǎn)，簡(jiǎn)單說(shuō)了。是在一個(gè)AV變種的木馬群發(fā)現(xiàn)的,由CMD調(diào)用，駐進(jìn)程，其實(shí)是個(gè)類似嗅探器的東西，隔秒刷新，監(jiān)聽(tīng)網(wǎng)絡(luò)，在經(jīng)過(guò)自身的數(shù)據(jù)包上掛一段惡意代碼（JS），那么這些數(shù)據(jù)包返回時(shí)，收到被修改數(shù)據(jù)包的用戶在瀏覽每個(gè)網(wǎng)頁(yè)上可能都有病毒。

如果在局域的話，那么可以在任意一臺(tái)主機(jī)上用抓包工具檢查數(shù)據(jù)包的異常并定位。

破防

前幾個(gè)版本中的8位數(shù)字病毒就是使用了這個(gè)技術(shù)，通過(guò)攔截FindWindowExA、mouse_event、SendMessageA等函數(shù)，捕捉瑞星注冊(cè)表監(jiān)控和卡吧主動(dòng)防御的監(jiān)控窗口，發(fā)送“允許”、“Yes"命令。（不經(jīng)過(guò)用戶操作），后來(lái)作者發(fā)現(xiàn)，把殺軟關(guān)閉了，這功能不是多余的么。貌似后面的版本都沒(méi)有再加入該技術(shù)。

這種技術(shù)比較卑劣，只能通過(guò)預(yù)防為上。另：HIPS可以攔住。

自身防護(hù)

“隨機(jī)字符”病毒的自我保護(hù)方法是破壞安全模式和“顯示隱藏文件”，那么這給查殺工作帶來(lái)相當(dāng)大的難度，因?yàn)檫@些病毒屬性都是隱藏的。也不能進(jìn)安全模式殺毒。

修復(fù)安全模式和“顯示隱藏文件”都可以借助相應(yīng)的注冊(cè)表導(dǎo)入修復(fù)，另SREng帶有修復(fù)安全模式的功（SREng—系統(tǒng)修復(fù)—高級(jí)修復(fù)—修復(fù)安全模式—確定）

破解方法：

1、忽視聯(lián)防

首先是針對(duì)7位數(shù)字的雙進(jìn)程守護(hù)，可以通用哦。打開(kāi)冰刃（增強(qiáng)版），按Ctrl選上兩個(gè)隨機(jī)7個(gè)字母的進(jìn)程（通過(guò)路徑辨別）。同時(shí)結(jié)束掉，然后再刪除對(duì)應(yīng)的文件和啟動(dòng)注冊(cè)表項(xiàng)就可以了。也可以設(shè)置冰刃“禁止線程創(chuàng)建”功能，挨個(gè)結(jié)束。

2、重命名

把“隨機(jī)數(shù)字.dll”改名為“隨機(jī)數(shù)字lld”那么重啟后它還可以插入進(jìn)程嗎？答案是不可以的。

3、扼其要道

一個(gè)Dll文件如何實(shí)現(xiàn)電腦重啟后再次加載呢？（1）通過(guò)EXE載體釋放。（2）通過(guò)系統(tǒng)服務(wù)加載。（3）跟隨Rundll啟動(dòng)。（4）由注冊(cè)表隱蔽加載（非常規(guī)Run啟動(dòng)項(xiàng)）。這里隨機(jī)8位數(shù)字.dll使用的是第4種方法。附在HKLM\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Explorer\ShellExecuteHooks下啟動(dòng)。那么好，如果我把這鍵鎖了，你還能啟動(dòng)？這不需要工具。上次我就是鎖住這個(gè)鍵，實(shí)現(xiàn)隨機(jī)病毒全手動(dòng)刪除。（好像40多個(gè)病毒這樣子）

4、刪除工具

這個(gè)我就不多說(shuō)了，等作者開(kāi)竅，去更新吧，鄙視你。常用的是PowerRMV、KillBox、IS等。只需要?jiǎng)h除掉那個(gè)隨機(jī)數(shù)字.Dll，那么一切迎刃而解。（其實(shí)很有很多工具并沒(méi)有禁，這里我不說(shuō)了:D)

5、還施彼身

IFEO？我也會(huì)用！這個(gè)病毒是依靠插Explorer進(jìn)程的，如果我們把下面的代碼導(dǎo)入注冊(cè)表并重啟，那么等著看隨機(jī)數(shù)字.dll“無(wú)家可歸”吧

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Explorer.exe]
"Debugger"="C:\\Windows\\system32\\CMD.exe"

這樣啟動(dòng)時(shí)候不會(huì)顯示桌面，當(dāng)然病毒也無(wú)法插入進(jìn)程了。而是顯示DOS命令行哦，我們就可以為所欲為了~~~^_^

小聰明：其中C:\\Windows\\system32\\CMD.exe路徑如果改成是冰刃或其他安全工具的啟動(dòng)路徑話，效果更佳。

6、斷電大法

以前對(duì)付一個(gè)病毒（ByShell)，蠻厲害的，實(shí)現(xiàn)三無(wú)技術(shù)（無(wú)文件、無(wú)啟動(dòng)項(xiàng)、無(wú)進(jìn)程）。后來(lái)就是靠這招險(xiǎn)勝的（汗了半個(gè)月）。這個(gè)方法原理以突發(fā)斷電法防止病毒從內(nèi)存回寫(xiě)。我們知道，如果把屬于病毒“同黨”刪除的話，那么駐進(jìn)程的隨機(jī)數(shù)字.dll會(huì)將其再生成。我們可以先使用Autoruns這個(gè)工具（記得先改名字哦）刪除掉隨機(jī)數(shù)字.dll的注冊(cè)表項(xiàng)，刪除后馬上把電源關(guān)閉。

如果機(jī)子卡或者動(dòng)作慢的話，這招就不要試?yán)?br />7、借尸還魂

上面提到了,隨機(jī)數(shù)字.dll是依靠宿主Explorer.exe內(nèi)的，以前是枚舉TIMPlatform.exe"（如果有）和"Explorer.exe"后插入進(jìn)程。后來(lái)作者發(fā)現(xiàn)，進(jìn)程里肯定是有Explorer的，在后面的版本中就沒(méi)有加入枚舉TIMPlatform.exe"了。而是直接插入"Explorer.exe"。嘿嘿，思路又來(lái)了。如果我們把Explorer.exe進(jìn)程從任務(wù)管理結(jié)束掉，那么隨機(jī)數(shù)字.dll不是流露街頭？哈哈，看看吧：
這招需要有點(diǎn)DOS知識(shí)，配合去病毒的附加屬性從而達(dá)到目的。你可以直接調(diào)用CMD強(qiáng)行刪除。這招在前幾個(gè)版本都有效，后面的我就不知道了。（沒(méi)有新樣本呀，5555~~~~）

8、遺忘的DOS

這里指的是純DOS啊，不是命令行！找個(gè)安裝盤(pán)并設(shè)置CR第一啟動(dòng)項(xiàng)。這樣的安裝盤(pán)一般都有集成DOS的工具，進(jìn)入之，執(zhí)行強(qiáng)行刪除命令就可以拉，附上命令：

Del 隨機(jī)數(shù)字.dll /f/s/a/q

不過(guò)要到它的目錄喔，它“老人家”在C:\Program Files\Common Files\Microsoft Shared\MSINFO\

還有個(gè)同名的dat病毒。（順手刪了哈）。

9、重返安全模式

AV病毒能破壞安全模式，達(dá)到無(wú)法進(jìn)入安全模式清除的效果，其實(shí)這是個(gè)軟肋。只要我們修復(fù)安全模式，然后進(jìn)安全模式把病毒文件刪除掉就可以了。

我網(wǎng)盤(pán)有專門(mén)修復(fù)工具（注冊(cè)表），其中SREng也可以修復(fù)，方法在上面。

我的網(wǎng)盤(pán)：（如果不能下的話，自己去網(wǎng)上找吧！）

10、掛盤(pán)殺

沒(méi)什么技術(shù)含量了，鄙視我吧。（BIOS要設(shè)置主從盤(pán)，要謹(jǐn)慎，另小心母機(jī)不要中標(biāo)了）

您好：如果懷疑系統(tǒng)存在病毒，建議您安裝瑞星殺毒軟件V16版本升級(jí)到最新病毒庫(kù)后進(jìn)行病毒掃描查殺，下載地址：http://pc.rising.com.cn/

把別人的和你電腦一樣的系統(tǒng)的ISO映像文件復(fù)制到安裝碟來(lái)。或者百度下載你的系統(tǒng)的那個(gè)ISO映像文件，映像一下。重裝后，不要打開(kāi)任何文件，格式化除了系統(tǒng)盤(pán)以外的全部盤(pán)。否則復(fù)發(fā)很可能啊。好了就先下載個(gè)影子用，安裝影子之前，把全部補(bǔ)丁打好。要弄的弄好，然后安裝影子。選單一影子模式

比較喜歡360殺毒，360殺毒無(wú)縫整合了國(guó)際知名的BitDefender病毒查殺引擎，以及360安全中心領(lǐng)先的云查殺引擎。雙引擎智能調(diào)度，為您提供完善的病毒防護(hù)體系，不但查殺能力出色，而且能第一時(shí)間防御新出現(xiàn)的病毒木馬。360殺毒完全免費(fèi)，無(wú)需激活碼，輕巧快速不卡機(jī)，誤殺率遠(yuǎn)遠(yuǎn)低于其它殺軟，能為您的電腦提供全面保護(hù)。

開(kāi)機(jī)的是后狂按F11

電腦疑似中木馬病毒了,怎么辦?
電腦中木馬了，首先電腦一定要安裝殺毒軟件，然后接下來(lái)按照下面的操作：方式一:電腦安裝一鍵還原狀況下，采用一鍵還原方式來(lái)進(jìn)行解決木馬問(wèn)題：1、右鍵點(diǎn)擊開(kāi)始→【所有程序】；2、點(diǎn)擊一鍵還原精靈裝機(jī)版；3、開(kāi)始一鍵還原系統(tǒng)。方案二：注冊(cè)表殺毒：1、同時(shí)按住Ctrl+Alt+.3個(gè)鍵進(jìn)入程序模式，CPU運(yùn)行達(dá)到...

我的電腦中了一個(gè)奇怪的病毒
我的電腦忘了什么時(shí)候中的病毒了去年也發(fā)生過(guò)這個(gè)病毒我都忘了怎么中的了上次是把整個(gè)硬盤(pán)從新分區(qū)格式化才OK的有沒(méi)有簡(jiǎn)單的方法啊畢竟我的東西太多了這個(gè)病毒做系統(tǒng)都刪不掉我知道的... 我的電腦忘了什么時(shí)候中的病毒了去年也發(fā)生過(guò)這個(gè)病毒我都忘了怎么中的了上次是把整個(gè)硬盤(pán)從新分區(qū)格式化才OK的有沒(méi)有...

電腦中了什么病毒會(huì)出現(xiàn)恐怖的幻覺(jué)
Windows XP Horror Edition病毒來(lái)源：是一位外國(guó)網(wǎng)友研發(fā)的，是一種偽裝成升級(jí)系統(tǒng)的程序。運(yùn)行后電腦會(huì)播放XP系統(tǒng)安裝音樂(lè)，并進(jìn)入升級(jí)界面，進(jìn)度條走到66%時(shí)會(huì)卡住，彈出錯(cuò)誤窗口，點(diǎn)擊OK或按下Enter鍵會(huì)進(jìn)入病毒自己的界面。有一個(gè)方框，里面有一只眼睛還寫(xiě)著Don't see behind you！翻譯：不要看你的...

電腦中木馬病毒的癥狀
計(jì)算機(jī)桌面的程序快捷方式圖標(biāo)或程序目錄的主exe文件的圖標(biāo)被篡改或?yàn)榭瞻祝敲春苡锌赡苓@個(gè)軟件的exe程序被病毒或木馬感染。蠕蟲(chóng)病毒會(huì)進(jìn)行此類感染修改電腦中病毒后簡(jiǎn)單的處理方式一、正在上網(wǎng)的用戶，發(fā)現(xiàn)異常應(yīng)首先馬上斷開(kāi)連接如果你發(fā)現(xiàn)IE經(jīng)常詢問(wèn)你是否運(yùn)行某些ACTIVEX控件，或是生成莫明其妙的文件、...

我中了一個(gè)病毒,先是閃屏,然后出現(xiàn)一個(gè)恐怖的人臉,這是什么病毒啊??
您好 1，您這是中了女鬼病毒了，屬于一個(gè)惡意軟件程序，近期很流行的一種病毒。2，您可以到騰訊電腦管家官網(wǎng)下載一個(gè)電腦管家。3，然后使用電腦管家——?dú)⒍尽P(pán)查殺。4，電腦管家擁有2大云殺毒引擎和全國(guó)最大的云病毒庫(kù)，可以輕松查殺各種流行頑固木馬病毒，保護(hù)電腦安全。如果還有其他疑問(wèn)和問(wèn)題，...

我的電腦中了蠕蟲(chóng)病毒,怎么辦
如果您懷疑您的電腦有病毒您可以下載安裝帶監(jiān)控的殺毒軟件，在安全模式下進(jìn)行全盤(pán)查殺。如果病毒沒(méi)法清除干凈的話 1、如果是局域網(wǎng)環(huán)境，請(qǐng)斷網(wǎng)后重新殺毒。如斷網(wǎng)后殺毒不再出現(xiàn)殺毒總殺總有的情況，說(shuō)明病毒是通過(guò)局域網(wǎng)傳播，請(qǐng)用戶全網(wǎng)進(jìn)行殺毒，并在全網(wǎng)系統(tǒng)中打系統(tǒng)補(bǔ)丁。2、如果斷網(wǎng)殺毒仍出現(xiàn)總殺...

我的電腦中了木馬病毒,刪不掉,但后來(lái)掃描又有病毒,怎么回事
我的電腦中了木馬病毒,怎么也刪不掉,誰(shuí)能幫幫我呀~ 正常模式手動(dòng)刪如果刪不掉進(jìn)安全模式刪你我是不線上玩游戲中的這個(gè)毒木馬病毒？刪不掉，機(jī)子中了vistaAA.exe病毒，此病毒是原先的 *** l病毒的最新變種，它會(huì)釋放一個(gè) *** l.sys到%system32%\\drivers資料夾，并拷貝一份覆蓋beep...

我的電腦中了病毒,
特魯伊木馬病毒！這種病毒怎么清除? 特洛伊木馬（Trojan horse）完整的木馬程序一般由兩個(gè)部份組成：一個(gè)是服務(wù)器程序，一個(gè)是控制器程序。“中了木馬”就是指安裝了木馬的服務(wù)器程序，若你的電腦被安裝了服務(wù)器程序，則擁有控制器程序的人就可以通過(guò)網(wǎng)絡(luò)控制你的電腦、為所欲為，這時(shí)你電腦上的各種文件...

我的電腦好像中了一種叫“黑蜘蛛病毒”
如果是由于病毒破壞引起的，這個(gè)方法就起不作用了。建議你全盤(pán)殺毒，騰訊電腦管家殺毒不錯(cuò)，推薦你可以試試，免費(fèi)專業(yè)安全軟件，殺毒管理二合一，占內(nèi)存小，殺毒好，防護(hù)好，無(wú)誤報(bào)誤殺。擁有云查殺引擎、反病毒引擎、金山云查殺引擎、AVIRA查殺引擎、小紅傘和查殺修復(fù)引擎等世界一流殺毒軟件內(nèi)嵌殺毒引擎！也...

電腦進(jìn)病毒如何處理
尤其需要進(jìn)行這項(xiàng)工作。6、檢查網(wǎng)上鄰居如果是局域網(wǎng)用戶，在處理了自己電腦的病毒之后，還要檢查一下網(wǎng)絡(luò)上其它計(jì)算機(jī)是否同樣被感染了病毒。因?yàn)楹芏嗖《景l(fā)作后是會(huì)向網(wǎng)絡(luò)中其它電腦發(fā)起攻擊的。自己的電腦中了病毒，極可能會(huì)傳染給網(wǎng)絡(luò)上的其它計(jì)算機(jī)。如果不及時(shí)將其清理，那么極有可能會(huì)再反向傳染。

www.tjgcgs88.cn-狠狠久久亚洲欧美专区不卡,久久精品国产99久久无毒不卡,噼里啪啦国语版在线观看,zσzσzσ女人极品另类

我的電腦中了一個(gè)奇怪的病毒我的電腦中了一個(gè)很奇怪的病毒

相關(guān)評(píng)說(shuō)：

www.tjgcgs88.cn-狠狠久久亚洲欧美专区不卡,久久精品国产99久久无毒不卡,噼里啪啦国语版在线观看,zσzσzσ女人极品另类

我的電腦中了一個(gè)奇怪的病毒 我的電腦中了一個(gè)很奇怪的病毒

相關(guān)評(píng)說(shuō)：

我的電腦中了一個(gè)奇怪的病毒我的電腦中了一個(gè)很奇怪的病毒