| 病毒名稱 Trojan.QQMSG.WHboy.mn 別 名: 武漢男生變種MN 依賴系統(tǒng) :WIN9X/NT/2000/XP 傳播途徑 :網(wǎng)絡(luò)傳播 行為類型 :WINDOWS下的木馬程序
遍歷窗體，自動(dòng)關(guān)閉包含以下字符串的窗體： “注冊(cè)表”“系統(tǒng)配置實(shí)用程序”“QQKav”“天網(wǎng)”“密碼防盜”“綠鷹PC”“防火墻”“進(jìn)程”“網(wǎng)鏢”“任務(wù)管理器”“殺毒”“超級(jí)兔子”“優(yōu)化大師”“木馬克星”“QQAV”“毒霸”“黃山IE”“騰訊公司QQ”“QQ病毒”“xleo”“whboy”“Windows 任務(wù)管理器”“ThunderRT6formDC” 等 病毒運(yùn)行后將自身復(fù)制到Windows系統(tǒng)目錄下，文件名為“svohost.exe”，同時(shí)修改注冊(cè)表項(xiàng)目實(shí)現(xiàn)開機(jī)自動(dòng)運(yùn)行。病毒將IE的首頁(yè)修改為“http://www. ***iex.com”(有的不修改)，使用戶每次打開IE都會(huì)瀏覽該病毒網(wǎng)站。該病毒會(huì)造成多種殺毒軟件和常用軟件無(wú)法使用，還會(huì)從“http://mp3.***o.com/228.exe”網(wǎng)站下載病毒文件并運(yùn)行(用戶有時(shí)不會(huì)覺察)。 病毒一旦運(yùn)行，釋放自己的副本到 %windir% 目錄，文件名為"svohost.exe"，同時(shí)修改注冊(cè)表 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun 修改鍵值"ctfnom.exe"為"%windir%svohost.exe"； 修改IE主頁(yè)的默認(rèn)地址 HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain子建下的"Start Page"項(xiàng)為"http://www.joyiex.com" (也有例外不修改) 病毒的刪除方法
1.打開CMD.輸入命令tasklist回車查看一下..果然發(fā)現(xiàn)了這個(gè)進(jìn)程:svohost.exe(雖然他禁用了任務(wù)管理器,但在CMD下用tasklist命令還是可以查看到進(jìn)程信息的)
2.關(guān)了他.輸入命令taskkill /f /im svohost.exe
提示成功.
3.搜索svohost.exe這個(gè)文件(把搜索隱藏文件也勾上)搜索到后刪除!似乎有兩個(gè).一個(gè)是完全大寫的.一個(gè)是完全小寫的.事實(shí)上還有一個(gè)程序叫l(wèi)sasa.exe的也得刪除.他模仿的是WINDOWS的正常進(jìn)程lsass.exe.操作到這里大家應(yīng)該可以打開注冊(cè)表 任務(wù)管理器了但是 請(qǐng)馬上去這個(gè)地址下載這2個(gè)工具h(yuǎn)ttp://free.ys168.com/?caiqcjd
txt.reg 3.9KB 恢復(fù)TXT文件關(guān)聯(lián)
exefiles.rar 1.4KB 恢復(fù)EXE文件關(guān)聯(lián)
備注 部分出現(xiàn)結(jié)束進(jìn)程后病毒 暫時(shí)失效 但是重起后死灰復(fù)燃 請(qǐng)注意在造作成功后 馬上利用自己的殺毒工具 或者 QQ專殺進(jìn)行殺毒 因?yàn)檫@個(gè)時(shí)候病毒的殼被去掉了 我們可以抓住這個(gè)時(shí)機(jī)做下殺毒
4.本以為沒問題了.后來(lái)還發(fā)現(xiàn)一個(gè)問題.他還修改了注冊(cè)表的一處,使文件夾選項(xiàng)中對(duì)隱藏文件的設(shè)置始終為"不顯示隱藏文件"，這么做的主要目的在于讓你在WINDOWS環(huán)境下找不到被設(shè)定隱藏屬性的病毒源文件.但這里還有幾種手段可以找到他.1.用WINDOWS的搜索.只要在高級(jí)選項(xiàng)里把"搜索隱藏的文件和文件夾"勾上就可以找到了.2.在命令提示符里用dir /a命令也可以查看到.麻煩一點(diǎn)罷了.由于WINDOWS和SYSTEM32目錄下文件太多.用dir命令的時(shí)候.最好再加一個(gè)參數(shù).dir /a /p這樣會(huì)更好.
我們到注冊(cè)表里去把他改回正常狀態(tài).
打開注冊(cè)表.找到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL這個(gè)鍵.看右邊.找到一個(gè)CheckedValue的值.我注意到這個(gè)該死的病毒居然把他改成了字符串值.如果你不小心的話.也許會(huì)認(rèn)為改了也沒用.把這個(gè)值刪除.重建一個(gè)DWORD的值為CheckedValue.把他的值設(shè)為1.
| 
