获取这个样本真是非常意外。今日打开我的纳米盘，突然发现有个程序weiai.rar不是我自己传的，下载下来之后测试发现大有名堂。解压缩，卡巴马上就报病毒，说是灰鸽子，测试发现这是一个能够U盘传播的下载者病毒来的，更离奇的是我从管理里面删除了这个资源，但是只是从我的列表中消失了，其下载地址同样可以下载，纳米盘看来有点危险了。经过简单测试，这个病毒虽然年事已高（2005年9月26修改），但是其表现依然非常强劲，延续先前磁碟机的风格，干掉许多安全软件，驱动干掉SSM，模拟点击干掉icesword，上次写博时还说这个没有关闭autoruns，现在已经是其关注对象，可能sreng是新版的原因并没被破坏，Wsyscheck驱动加载被破坏。
其表现为：在各个根目录下释放X:weiai.exeX:autoiruns.infautoiruns.inf的内容：[AutoRun] Open=weiai.exe Shell\Open=打开(&O) Shell\Open\Command=weiai.exe Shell\Open\Default=1 Shell\Explore=资源管理器(&X) Shell\Explore\Command=weiai.exe访问8886663.com/的内容为]动手前最好先掐掉网络。打开程序后，点击“映像劫持”，选择一个项目，右键，选择“跳转到”
之后新建名为system.exe的项，debugger的值可以设为ntsd -d。
回到autoruns，点击“appinit”，选择一项，右键“跳转到”。
选择“权限”，将其完全控制和读取设置为拒绝。把HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run的权限同样设置为拒绝。（切记删除前导出键值备份）2,现在开始删除病毒体文件。可见这里有2个病毒驱动，第一个驱动是随机的，可能不一样。
现在复制我上面列出的“释放文件”名单，个案情况可能有出入，采用XDelBox删除。3，重启后，病毒已经不工作了。打开autoruns修复系统，删除“映像劫持”下的所有内容，释放下面2个键值的权限HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows删除run中的启动项和windows中AppInit_DLLs值的内容，清空c:\docume~1\admini~1\locals~1\temp\目录。4，打开sreng，系统修复，windows shell，全选，修复。5，升级杀软，全盘扫描。病毒样本下载纳米下载地址
以上就是由优质生活领域创作者 深圳生活网小编 整理编辑的，如果觉得有帮助欢迎收藏转发~
本文地址：https://www.szbubu.com/3115724.html，转载请说明来源于：深圳生活网
声明：本站部分文章来自网络，如无特殊说明或标注，均为本站原创发布。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。分享目的仅供大家学习与参考,不代表本站立场。
