|
|
|||||||||||
|
|||||||||||||
| 当前位置： 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
| U盘病毒 INFO.exe svchost.exe 手动清除 | |||
| 2007-8-31 11:19:07 文/海色の月 出处:C.I.S.R.T | |||
|
病毒别名：Generic BackDoor.j（McAfee） Worm.Agent.fc（瑞星） Win32.Troj.Small.r.106496（毒霸） 病毒大小：106,496 字节 样本MD5：cdb08172bf30101dfba16ab40787aabd 样本SHA1：2283219fdf50b0fe21ee0a34a0e2c9168787ad55 传播方式：恶意网页下载，其它病毒或木马下载，可通过移动存储设备传播 技术分析 ========== 木马运行后在系统system目录下创建副本： %Windows%\system\svchost.exe 创建目录： %Windows%\system\_sv_CMD_\ 修改Userinit启动项内容： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="userinit.exe,%Windows%\system\svchost.exe" 往分区根目录复制副本： X:\autorun.inf X:\RECYCLER\INFO.exe X:\RECYCLER\desktop.ini autorun.inf内容： [autorun] open= shell\open\Command=RECYCLER\INFO.exe shell\open\Default=1 shell\explore\Command=RECYCLER\INFO.exe desktop.ini内容，伪装RECYCLER为回收站： [.ShellClassInfo] CLSID={645FF040-5081-101B-9F08-00AA002F954E} 清除步骤 ========== 1. 修改注册表Userinit启动项内容为（开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作）： :
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="%System%\svchost.exe" Windows XP/2003默认为： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\WINDOWS\system32\UserInit.exe," Windows 2000默认为： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\WINNT\system32\UserInit.exe," 2. 重新启动计算机 3. 手动删除（如遇提示无法删除文件，到down.45its.com下载费尔木马强制删除器工具进行强制删除）： 文件：%Windows%\system\svchost.exe 目录：%Windows%\system\_sv_CMD_\ 4. 通过资源管理器文件夹树形目录进入分区根目录，删除文件： X:\autorun.inf X:\RECYCLER\INFO.exe （如果计算机里的分区都是FAT32文件格式，可以直接把X:\RECYCLER\目录删除） |
|||
| 关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
|
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |
