某單位的一臺(tái)公用電腦接入了互聯(lián)網(wǎng)，沒(méi)多久，就被一個(gè)惡意網(wǎng)頁(yè)病毒感染，出現(xiàn)如下癥狀:打開(kāi)IE后會(huì)自動(dòng)進(jìn)入一個(gè)名為“久好網(wǎng)址之家”的網(wǎng)址大全類的網(wǎng)站，進(jìn)入IE的“Internet選項(xiàng)”，發(fā)現(xiàn)主頁(yè)被設(shè)置為“www.ok9.net”，同時(shí)使用“搜索”功能時(shí)，發(fā)現(xiàn)搜索也被修改指向“www.ok9.net”，令人厭煩。
運(yùn)行“注冊(cè)表編輯器”，以“www.ok9.net”為關(guān)鍵詞查找出所有被惡意網(wǎng)頁(yè)修改的內(nèi)容，并全部更改回原來(lái)的值。但重啟系統(tǒng)并啟動(dòng)IE后，又自動(dòng)打開(kāi)了那個(gè)惡意網(wǎng)站，而且其他地方也被修改了，看來(lái)這個(gè)惡意網(wǎng)站一定還在系統(tǒng)啟動(dòng)時(shí)做了什么手腳！
于是在“運(yùn)行”中輸入“msconfig”，打開(kāi)系統(tǒng)配置實(shí)用程序，逐項(xiàng)查找System.ini、Win.ini以及“啟動(dòng)”項(xiàng)中的所有自啟動(dòng)項(xiàng)目，終于在“啟動(dòng)”項(xiàng)中發(fā)現(xiàn)了兩個(gè)極為可疑的鍵值。雖然一個(gè)是默認(rèn)鍵值，一個(gè)鍵值名稱為“win”，但兩者的鍵值數(shù)據(jù)都是“regedit -s c:\windows\win.dll”。其中“-s”參數(shù)表示讓這個(gè)導(dǎo)入操作在后臺(tái)默默進(jìn)行，不會(huì)有任何提示，這個(gè)相信不少讀者已經(jīng)了解，但奇怪的是導(dǎo)入的是“Win.dll”文件，怎么會(huì)是一個(gè)動(dòng)態(tài)鏈接庫(kù)文件呢？試著用記事本打開(kāi)該文件，發(fā)現(xiàn)原來(lái)這是一個(gè)文本格式的文件，只不過(guò)被修改了擴(kuò)展名而已。我分析了一下這個(gè)“Win.dll”文件，原來(lái)系統(tǒng)總是自動(dòng)被惡意修改就是它在起作用。
找到了癥結(jié)所在，解決方法當(dāng)然就是刪除這個(gè)鍵值，并刪除“Win.dll”文件，接著進(jìn)入“注冊(cè)表編輯器”將惡意修改的鍵值改回來(lái)，這樣惡意網(wǎng)頁(yè)病毒全部清除。
小提示
巧用“病毒”治病毒
上面提到進(jìn)入“注冊(cè)表編輯器”來(lái)改回默認(rèn)鍵值，但這樣操作起來(lái)有些麻煩，其實(shí)你完全可以利用那個(gè)“Win.dll”來(lái)自動(dòng)還原被惡意修改的鍵值?？梢詫⑵鋬?nèi)容修改成這樣:
REGEDIT4
[空一行]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
@=""
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"win"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"=""
"First Home Page"=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"=""
"First Home Page"=""
rcx
保存修改后的“Win.dll”文件，然后運(yùn)行一下命令“regedit -s c:\windows\win.dll”，重啟后，所有的惡意修改一下子就全部被恢復(fù)了，你還可以保存著這個(gè)文件，如果再遇到這個(gè)惡意網(wǎng)頁(yè)，只需要用這個(gè)文件恢復(fù)一下就可以了，非常方便。
關(guān)于惡意網(wǎng)頁(yè)修改注冊(cè)表以及IE的問(wèn)題我們已經(jīng)說(shuō)過(guò)了很多次。究其原理，其實(shí)都是通過(guò)“腳本”這樣一個(gè)雙刃劍修改注冊(cè)表來(lái)達(dá)到目的的。不過(guò)這個(gè)“喬裝成DLL文件的新型惡意網(wǎng)頁(yè)病毒”又給了我們一點(diǎn)新的啟示:用regedit導(dǎo)入到注冊(cè)表中的文件不僅可以是文本類型的文件，還可以是其他擴(kuò)展名的文件。如果你覺(jué)得用手工修改的方法來(lái)恢復(fù)比較麻煩的話，這里另外提供兩個(gè)比較簡(jiǎn)單的方法:訪http://assistant.3721.com/，然后點(diǎn)擊“安全與修復(fù)”鏈接進(jìn)行在線修復(fù)，用小工具“IE修復(fù)專家”，它也能輕松解決這類惡意腳本引起的諸多問(wèn)題。
聯(lián)系客服
