| 病毒名稱 Trojan.QQMSG.WHboy.mn 別 名: 武漢男生變種MN 依賴系統(tǒng) :WIN9X/NT/2000/XP 傳播途徑 :網(wǎng)絡(luò)傳播 行為類型 :WINDOWS下的木馬程序
遍歷窗體，自動關(guān)閉包含以下字符串的窗體： “注冊表”“系統(tǒng)配置實用程序”“QQKav”“天網(wǎng)”“密碼防盜”“綠鷹PC”“防火墻”“進程”“網(wǎng)鏢”“任務(wù)管理器”“殺毒”“超級兔子”“優(yōu)化大師”“木馬克星”“QQAV”“毒霸”“黃山IE”“騰訊公司QQ”“QQ病毒”“xleo”“whboy”“Windows 任務(wù)管理器”“ThunderRT6formDC” 等 病毒運行后將自身復(fù)制到Windows系統(tǒng)目錄下，文件名為“svohost.exe”，同時修改注冊表項目實現(xiàn)開機自動運行。病毒將IE的首頁修改為“http://www. ***iex.com”(有的不修改)，使用戶每次打開IE都會瀏覽該病毒網(wǎng)站。該病毒會造成多種殺毒軟件和常用軟件無法使用，還會從“http://mp3.***o.com/228.exe”網(wǎng)站下載病毒文件并運行(用戶有時不會覺察)。 病毒一旦運行，釋放自己的副本到 %windir% 目錄，文件名為"svohost.exe"，同時修改注冊表 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun 修改鍵值"ctfnom.exe"為"%windir%svohost.exe"； 修改IE主頁的默認地址 HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain子建下的"Start Page"項為"http://www.joyiex.com" (也有例外不修改) 病毒的刪除方法
1.打開CMD.輸入命令tasklist回車查看一下..果然發(fā)現(xiàn)了這個進程:svohost.exe(雖然他禁用了任務(wù)管理器,但在CMD下用tasklist命令還是可以查看到進程信息的)
2.關(guān)了他.輸入命令taskkill /f /im svohost.exe
提示成功.
3.搜索svohost.exe這個文件(把搜索隱藏文件也勾上)搜索到后刪除!似乎有兩個.一個是完全大寫的.一個是完全小寫的.事實上還有一個程序叫l(wèi)sasa.exe的也得刪除.他模仿的是WINDOWS的正常進程lsass.exe.操作到這里大家應(yīng)該可以打開注冊表 任務(wù)管理器了但是 請馬上去這個地址下載這2個工具http://free.ys168.com/?caiqcjd
txt.reg 3.9KB 恢復(fù)TXT文件關(guān)聯(lián)
exefiles.rar 1.4KB 恢復(fù)EXE文件關(guān)聯(lián)
備注 部分出現(xiàn)結(jié)束進程后病毒 暫時失效 但是重起后死灰復(fù)燃 請注意在造作成功后 馬上利用自己的殺毒工具 或者 QQ專殺進行殺毒 因為這個時候病毒的殼被去掉了 我們可以抓住這個時機做下殺毒
4.本以為沒問題了.后來還發(fā)現(xiàn)一個問題.他還修改了注冊表的一處,使文件夾選項中對隱藏文件的設(shè)置始終為"不顯示隱藏文件"，這么做的主要目的在于讓你在WINDOWS環(huán)境下找不到被設(shè)定隱藏屬性的病毒源文件.但這里還有幾種手段可以找到他.1.用WINDOWS的搜索.只要在高級選項里把"搜索隱藏的文件和文件夾"勾上就可以找到了.2.在命令提示符里用dir /a命令也可以查看到.麻煩一點罷了.由于WINDOWS和SYSTEM32目錄下文件太多.用dir命令的時候.最好再加一個參數(shù).dir /a /p這樣會更好.
我們到注冊表里去把他改回正常狀態(tài).
打開注冊表.找到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL這個鍵.看右邊.找到一個CheckedValue的值.我注意到這個該死的病毒居然把他改成了字符串值.如果你不小心的話.也許會認為改了也沒用.把這個值刪除.重建一個DWORD的值為CheckedValue.把他的值設(shè)為1.
| 
