今天看到金山铁军的博客,发现8749流氓病毒即将或者已经爆发。并且铁军提供了详细的分析报告，遗憾的是本稿发布前还没提供解决教程，这里我就拿现成的分析报告写个解决教程了。嘻嘻。。

　　以下引用铁军的介绍或分析报告：

　　特征：

　　这是一个典型的病毒化的流氓软件，中标后的典型现象是主页被锁定为www.8749.com。在短短几天之间，已经出现了数个变种。以变种出现的速度来看，估计该流氓软件会很快在互联网大规模传播。该病毒为了保护自身不被用户清除，使用了极端的手段。

　　除了让一些安全软件无法运行之外（差不多是复制了AV终结者病毒的破坏特性），任何包含“8749病毒”、“删除8749”一类字符的窗口都会被该病毒强制终止，病毒还会禁用系统还原，破坏安全模式等手段，令清除病毒或恢复系统变得更加困难。

　　分析报告：

　　病毒行为：

　　1.使用删除文件，移动文件，写入空信息等三种方式清空HOST文件

　　2.病毒利用文件占用技术，实现对自身程序文件的保护

　　3.修改注册表键，禁用XP的系统还原

　　Software\Microsoft\Internet Explorer\Search

　　Software\Microsoft\Internet Explorer\Main

　　4.添加注册表启动项，因病毒名是随机生成，不同的电脑，感染的文件并不完全一致。修改注册表

　　HKLM\software\microsoft\windows\currentversion\runonce，实现自动注册组件。

　　5.破坏安全模式（清空注册表SAFEMODE下的所有项目），使你不能进入安全模式调试系统。

　　6.终止所有包含下列字符的窗口的进程。

　　btbaicai

　　wopticlean

　　360safe

　　8749病毒

　　8749专杀

　　卡卡

　　安全卫士

　　IE修复

　　8749.com病毒

　　清除8749

　　删除8749

　　7.子DLL，每20分钟从http://up.yinlew.com:8080/hellohost515.ini?p=%s&t=%d下载一个要阻止访问的网站列表，下载后的文件保存在%sys32dir%\andttrs文件中。类似以下内容：

　　125.91.1.20 www.kzdh.com

　　125.91.1.20 www.7255.com

　　125.91.1.20 www.7322.com

　　125.91.1.20 www.7939.com

　　125.91.1.20 www.piaoxue.com

　　125.91.1.20 www.feixu.net

　　125.91.1.20 www.6781.com

　　125.91.1.20 www.7b.com.cn

　　125.91.1.20 www.918188.com

　　125.91.1.20 hao.allxue.com

　　125.91.1.20 good.allxue.com

　　125.91.1.20 baby.allxue.com

　　125.91.1.20 www.allxue.com

　　125.91.1.20 about.lank.la

　　125.91.1.20 www.x114x.com

　　125.91.1.20 www.37ss.com

　　125.91.1.20 www.7k.cc

　　125.91.1.20 www.73ss.com

　　125.91.1.20 www.hao123.com

　　125.91.1.20 www.81915.com

　　125.91.1.20 www.9991.com

　　125.91.1.20 www.my123.com

　　125.91.1.20 www.haokan123.com

　　125.91.1.20 www.5566.net

　　125.91.1.20 www.gjj.cc

　　125.91.1.20 www.2345.com

　　125.91.1.20 www.123wa.com

　　125.91.1.20 www.ku886.com

　　125.91.1.20 www.5icrack.com

　　125.91.1.20 www.jjol.cn

　　125.91.1.20 www.xinhai168.com

　　125.91.1.20 ooooos.com

　　125.91.1.20 www.ooooos.com

　　125.91.1.20 www.8757.com

　　125.91.1.20 4199.5009.com

　　125.91.1.20 www.13886.cn

　　125.91.1.20 www.8757.com

　　125.91.1.20 www.baidu345.com

　　125.91.1.20 www.dedewang.com

　　125.91.1.20 allxun.5009.cn

　　125.91.1.20 4199.5009.cn

　　125.91.1.20 yahoo.5009.cn

　　125.91.1.20 tom.5009.cn

　　125.91.1.20 zh130.5009.cn

　　125.91.1.20 piaoxue.5009.cn

　　125.91.1.20 3448.5009.cn

　　125.91.1.20 ttmp3.5009.cn

　　125.91.1.20 fx120.5009.cn

　　125.91.1.20 7939.5009.cn

　　125.91.1.20 99488.5009.cn

　　125.91.1.20 7333.5009.cn

　　125.91.1.20 www.ld123.com

　　125.91.1.20 www.anyiba.com

　　125.91.1.20 www.999991.cn

　　125.91.1.20 www.hao123.cn

　　125.91.1.20 www.3721.com

　　125.91.1.20 www.haol23.com

　　125.91.1.20 haol23.com

　　8.生成与子DLL同名的SYS驱动程序，驱动程序监控自身服务注册项（独立线程监控、WINLOGON启动时监控），如果被安全软件修改，病毒会再改回来。

　　9.IRP HOOK最底层的文件系统（IRP_MJ_SET_INFORMATION），保护文件，不能删除，不能更名。

　　10.挂钩ZwCreateFile，在其访问system32\drivers\etc\hosts时，将该访问操作重定向到%sys32dir%\andttrs。相当 于用这个andttrs取代了系统的hosts文件，达到跟修改HOST文件相同的效果，用户只能通过修改andttrs或恢复HOOK阻止本地域名绑定。

　　11.挂钩ZwLoadDriver,禁止ICESWORD（冰刃）的驱动加载。

　　手动解决：

　　1.下载WINDOWS清理助手2.0和金山清理专家2.0，以及AV终结者专杀和sreng2.zip（可到down.45it.com下载,sreng2.zip主要是以防以下教程失效，用户用户可以使用该软件生成日志发到www.45its.com 网站上给站务人员处理）

　　2.断开网络，关闭系统还原（系统还原关闭步骤：我的电脑-右键-属性-系统还原-在所有驱动器上关闭系统还原）。

　　3.显示系统隐藏文件，清理System Volume Information文件夹内所有内容（change.log除外）。（详细操作步骤：打开我的电脑，工具---文件夹---查看----显示所有文件夹上打勾,去掉“隐藏受保护的系统操作文件（推荐）”前面的钩，然后确定退出。打开系统盘（C盘）找到System Volume Information这个文件夹，选择删除即可。）

　　4.重启进入安全模式（操作步骤：重启系统长按F8直到出现提示，然后选择进入安全模式），使用WINDOWS清理助手2.0和金山清理专家2.0依次进行恶意软件清理和IE加载项等修复，然后使用AV终结者专杀进行查杀。

　　附：《win xp不能进入安全模式的解决方法》

　　因该病毒变种多，更新较快，以上解决方法可能失效，我们会继续不断更新变种的解决方法。以上软件均可到down.45it.com下载