请注意:"磁碟机"病毒肆虐 - PC 应用 - 51CTO技术论坛

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» PC 应用 » 请注意:"磁碟机"病毒肆虐 [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

fs999
副版主

帖子 1703
精华 1
无忧币 6134
积分 1921
阅读权限 140

注册日期 2006-12-7

最后登录 2008-5-18

离线

[查看资料] [发短消息] [Blog]

发表于:2008-3-23 13:09　　标题：请注意:"磁碟机"病毒肆虐
＜上一帖 | 下一帖＞

“磁碟机”病毒会做什么???

1、在C盘根目录下释放驱动NetApi000.sys，卸掉杀毒软件的钩子，使其监控失效。

　　2、从以下网站下载新病毒：
　　http://www.***.**/*.htm
　　http://js.k***.**/**.asp
　　http://js.k0****.**/**.asp
　　http://js.***.**/***.asp
　　http://js.***.**/****.gif

　　3、删除注册表启动项键值，使病毒外的所有软件无法自启动。例如QQ、msn等可以自行启动的软件就会起不来。

　　4、搜索窗口字符，强行关闭杀毒软件和专杀工具。

　　5、在所有磁盘中添加autorun.inf和pagefile.pif，使得用户双击打开磁盘的同时运行病毒，从而可以U盘传播

　　6、通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程，无法删除，无法手工结束

　　7、感染可执行文件，对正常文件进行加密，如果杀毒，则会造成这些文件损坏。

　　8、双进程守护，每隔0.2秒检查一下自己是否存在，如不存在则重新启动。

　　9、修改注册表，使得用户无法进入安全模式，无法显示隐藏的系统文件。
　　
　　10、检查注册表，如果系统不允许U盘自动运行，则修改之，使U盘中的病毒可以自动运行。

如何判断电脑已感染“磁碟机”病毒？

1. 某些常用安全软件打不开，打开后立即被关闭，或者打开后有被“分尸”的现象，这是由于病毒不断向这些软件发送垃圾消息导致他们不能响应正常的用户指令导致。

2．安全模式被破坏。用户试图进入安全模式时，显示的是蓝屏，这是由于病毒删除了与安全模式相关的注册表键导致

　3.无法正常显示隐藏文件，且工具－文件夹选项下的“隐藏受保护的操作系统文件”一项被破坏。

[ 本帖最后由 fs999 于 2008-3-23 13:14 编辑 ]

2008-3-23 13:09

1楼

[ 顶部 ]

fs999
副版主

帖子 1703
精华 1
无忧币 6134
积分 1921
阅读权限 140

注册日期 2006-12-7

最后登录 2008-5-18

离线

[查看资料] [发短消息] [Blog]

发表于:2008-3-23 13:16　

还有

2008-3-23 13:16

2楼

[ 顶部 ]

fs999
副版主

帖子 1703
精华 1
无忧币 6134
积分 1921
阅读权限 140

注册日期 2006-12-7

最后登录 2008-5-18

离线

[查看资料] [发短消息] [Blog]

发表于:2008-3-23 13:24　

4.打开任务管理器，会发现两个lsass.exe和smss.exe进程

　5.使用Winrar浏览windows32\Com目录下可以发现如下病毒文件
%systemroot%\system32\com\lsass.exe
%systemroot%\system32\com\smss.exe
%systemroot%\system32\com\netcfg.dll
%systemroot%\system32\com\netcfg.000

各盘根目录下有pagefile.pif和autorun.inf文件

系统目录下存在dnsq.dll文件

[ 本帖最后由 fs999 于 2008-3-23 13:27 编辑 ]

2008-3-23 13:24

3楼

[ 顶部 ]

论坛跳转:

| | |

标记已读 · 删除论坛Cookies · 文本版 · WAP

本论坛言论纯属发布者个人意见，不代表51CTO网站立场！如有疑义，请与管理员联系。

用户名:	注册
密　码:
提　问:
回　答: