关于磁碟机及Javqhc病毒的清除方法 - 病毒木马 - - 网络安全

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» 网络安全 » 病毒木马 » 关于磁碟机及Javqhc病毒的清除方法 [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

xingyi
技术员

帖子 273
精华 0
无忧币 1250
积分 581
阅读权限 30
来自 (保密)

注册日期 2006-5-31

最后登录 2008-9-19

离线

[查看资料] [发短消息] [Blog]

发表于:2008-3-18 21:54　　标题：关于磁碟机及Javqhc病毒的清除方法
＜上一帖 | 下一帖＞

关于磁碟机及Javqhc病毒
的清除方法

磁碟机病毒简介
磁碟机病毒又名dummycom病毒，是近一个月来传播最迅速，变种最快，破坏力最强的病毒。
感染该病毒后主要有如下症状：
1、系统运行缓慢、频繁出现死机、蓝屏、报错等现象；
2、进程中出现两个lsass.exe和两个smss.exe（这两个文件在 “%Windir%\System32\Com”目录下），且病毒进程的用户名是当前登陆用户名；
3、杀毒软件被破坏，多种安全软件无法打开，安全站点无法访问；
4、系统时间被篡改，无法进入安全模式，隐藏文件无法显示；
5、病毒感染.exe文件导致其图标发生变化；
6、会对局域网发起ARP攻击，并篡改下载链接为病毒链接；
7、弹出钓鱼网站

磁碟机病毒的主要传播渠道是：
1、          U盘/移动硬盘/数码存储卡
2、          局域网ARP攻击
3、感染文件
4、恶意网站下载
5、其它木马下载器下载
如何免疫磁碟机病毒？
免疫方法：
1、使用360安全卫士“清理恶评插件”功能先进行检测，在弹出的免疫提示框中选择确定
2、下载360磁碟机病毒专杀工具，选择“开启免疫”

免疫原理：
1、通过host表屏蔽磁碟机病毒升级及下载站点
2、通过免疫文件保护防止磁碟机病毒文件创建

Javqhc病毒简介

如果你有一下现象，就可能中了此木马：

1、安全软件硬盘文件被删除
无法打开360、诊断工具等安全软件，运行后被立刻删除。

2、常用域名被劫持到其它域名
该木马会修改 hosts 表，奇虎360、卡巴斯基、金山、江民、瑞星、赛门铁克等安全厂商的升级服务器、主页、论坛的域名，均被劫持IP为222.73.126.115的主机，画面为假冒百度网，域名显示为cn.yahoo.com。

3、病毒文件写入常用软件安装目录
发现系统中 qq 安装目录下有 wsock32.dll 存在（也不一定有这个文件）

清除方法

感染了这两种病毒后，在登陆系统后无法运行防病毒及各种安全软件，且无法进入安全模式（蓝屏）。
因此，我们利用WINPE工具盘来在无毒环境下进行操作：
1、进入WINPE系统后，下载360安全卫士最新版并安装，在WINPE中运行并全盘扫描，清除360能检测出的病毒；
2、根据2008年1月16日我发给各位的《病毒的手工清除方法》来清除下列路径下的病毒体文件：（使用资源管理器，不要双击盘符，以免执行“autorun.inf”类病毒）
⑴、       清除各根目录下的“autorun.inf”及以page开头的一个DOS快捷图标或其它病毒体文件；
⑵、       清除“%System%\Documents and Settings\All Users\「开始」菜单\程序\启动”下的一个以~开头的EXE文件（此文件为此病毒在注销时所建，会导致无论用哪个用户登录系统时都会运行此病毒体文件，从而重新感染病毒）；
⑶、       清除“%System%\Documents and Settings\%UserName%|Default User|LocalService|NetworkService\Local Settings\Temp”下的文件及文件夹、“%System%\Documents and Settings\%UserName%|Default User|LocalService|NetworkService\Local Settings\Temporary Internet Files”下的文件、%System%\Documents and Settings\%UserName%|Default User|LocalService|NetworkService\Local Settings\Temporary Internet Files\Content.IE5”下的文件夹（方法参照《病毒的手工清除方法》）；
⑷、       清除“%Windir%”、“%Windir%\System32”、“%Windir%\System32\Com”、“%Windir%\System32\drivers”下的病毒体文件（方法参照《病毒的手工清除方法》）；
⑸、       检查系统文件是否被替换，如被替换请用干净无毒的同版本系统中的文件替换；
⑹、       检查“%Windir%\System32\drivers\etc”下的“hosts”等几个文件，将其中的劫持列表删除；
⑺、       清除各盘符下的“RECYCLER”（回收站）及“System Volume Information”下的文件，有很多病毒会在此两个目录下生成病毒体文件；
⑻、       再用360安全卫士全盘扫描一次病毒；
⑼、       重启进入正常的系统模式，升级Symantec防病毒软件并全盘扫描一次；
⑽、       使用360安全卫士及专杀工具检查；Sample Text

[ 本帖最后由 xingyi 于 2008-3-18 22:02 编辑 ]