|
一、感染症状
1、 更改注册表\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\SuperHidden\Type的键值为checkbox2，隐藏“文件夹选项”中的“隐藏受保护的操作系统文件”项，阻止显示系统属性的文件
2、在每个盘符下生成autorun.inf、icnskem.exe，并会下载VBurl.exe到C:\
3、在C:\program Files下生成meex.exe
4、在C:\program Files\Common
Files\Microsoft Shared下生成具有隐藏/系统属性的文件xoqommy.inf、tydfjbr.exe
5、在C:\program Files\Common Files\System下生成具有隐藏/系统属性的文件xoqommy.inf、amtrtpn.exe
6、增加amtrtpn.exe、tydfjbr.exe的启动项
7、添加注册表项\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\
Image File Execution Opeions ，实现映像劫持，阻止运行反病毒软件、
系统分析/修复工具等工具软件
8、进程中有amtrtpn.exe、tydfjbr.exe两个进程互相守护，结束其中任一进程时，任务管理器也同时被结束，待再次打开任务管理器时，被结束的进程已经再次运行。
9、下载病毒文件到C:\Documents
and Settings\Administrator\Local Settings\Temp
10、下载病毒文件到
C:\Documents and Settings\Administrator\Local
Settings
\Temporay Internet Files
11、下载病毒文件到C:\windows\Fonts文件
12、添加注册表项，使病毒注入Explorer.exe进程
13、修改系统时间为2001年
1.结束tydfjbr.exe和amtrtpn.exe进程任务管理器->进程选项卡->查看->选择列->勾上"PID(进程标识符)"。新建文本文档killprocess.txt，内容如下：ntsd
-c q -p PID1
ntsd
-c q -p PID2
把PID1和PID2，改成tydfjbr.exe和amtrtpn.exe进程的ID。将该killprocess.txt文件扩展名改成.bat
双击killprocess.bat，结束tydfjbr.exe和amtrtpn.exe进程
2.删除注册表\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中amtrtpn.exe、tydfjbr.exe的启动项
3.删除注册表项\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Image
File Execution Opeions
4.删除注册表项
\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\Explorer\ShellExecutehooks项中病毒相关的键
5.修改注册表\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\SuperHidden\Type的键值为checkbox，显示文件夹选项中的“隐藏受操作系统保护的系统文件”，显示系统属性文件
6.在文件夹选项中，去掉选择“隐藏受保护的操作系统文件”，选择“显示所有文件和文件夹”
7.备份并删除前述“一、感染症状”2、3、4、5、9、10中的病毒文件
8.由于资源管理中无法显示C:\Windows\Fonts文件夹中除字体文件以外的其他格式文件，所以需要先重新启动计算机，开始-运行-cmd，在命令行模式下执行如下命令：清除病毒文件的系统/隐藏属性，然后将所有dll文件copy到备份文件夹，删除C:\Windows\Fonts下的所有dll和exe文件。
9.修改系统时间至正常时间
10.将V3不能查杀的病毒文件加密码virus压缩成zip格式发送到support@ahn.com.cn
三、Autorun病毒的预防
1、关闭自动播放
点“开始”→“运行”，在对话框中输入“gpedit.msc”
，“确定”，在组策略“计算机配置”→“管理模板”→“系统”，双击“关闭自动播放”，在“设置”中选“已启用”，“关闭自动播放：所有驱动器”，确定；
2、在各磁盘分区、优盘分别建立名为autorun.inf、icnskem.exe的文件夹，阻止生成autorun.inf和icnskem.exe病毒文件；
3、培养良好的电脑使用习惯，使用资源管理器的文件夹栏打开磁盘分区和优盘，从而避免双击打开优盘及磁盘分区时触发autorun病毒；对外来优盘、下载的文件查杀病毒后再使用；避免访问非法网站、个人网站等危险站点。
[1]
[2] [3]
[4]
[下一页]
|