高危病毒“恐怖鸡感染号”（logogogo.exe)再度变种

papa

本周“恐怖鸡感染号”病毒再度变种，使用技术与之前的logogogo.exe如出一辙。
; C6 e! N4 D" Q3 S: G! l
病毒特征如下：

加载常规启动项
【HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run】
    <TBMonEx><C:\WINDOWS\system\soundmno.exe>  
（另一个变种的路径： C:\WINDOWS\system\C0NIME.EXE）
# [' U% e8 S% k4 A! r0 K在各个盘符留下病毒主文件ntldr.exe (单独运行此文件的话，病毒会通过批处理实现自删除)
# {6 W( q* z) W6 O! W进程中存在soundmno.exe或者C0NIME.EXE，感染包括毒霸在内的可执行文件，劫持大量杀毒软件。
% e! M" ?  |, D2 y
1 y; y+ Q' Z) ^4 t+ a" i3 o
类似病毒的技术细节分析参考：http://bbs.duba.net/thread-21847768-1-1.html


5 e) Q% A: d. Z! M# e
) g+ J% T% m. U关于毒霸用户的处理方案如下：

首先确认毒霸的病毒库版本是否是2007年11月17日的病毒库。确认方法如图：

. T" q2 J" O. ~1 G

" U( ]7 b6 F- G7 d
最后升级时间为2007年11月26日，晚于2007年11月17日即可跳过此步骤。如果早于2007年11月17日的话首先手动升级病毒库，进入带命令行的安全模式处理病毒的感染特征。

* J4 P1 B- s# v具体操作方法请看：http://bbs.duba.net/thread-21847545-1-1.html
" f8 u" d6 D# I# H$ r. A

如果已经是该病毒库日期之后的毒霸用户会有如下病毒名感染提示：

3 I1 I( r0 ^7 i4 w  ~; H4 V! ]
5 J. U2 R! r- r8 j

* B& q/ W' x; l
病毒感染特征处理后可使用如下手工处理方案：
1 d# y$ P2 e: _: M0 Q8 t! W( y
一：结束病毒进程
5 Q1 c9 w1 d# n+ L) }$ h运行金山系统清理专家进行全面诊断，隐藏所以已知的安全项目后选择病毒进程soundmno.exe将其修复。

; G% O. l  ?5 n; m
. ~. I8 |4 G) o
二:清除病毒启动项
$ T! G7 n1 ]2 d. i+ W在清理专家的启动项管理中找到病毒启动项TBMonEx后单击选择【清除该项】

三：粉碎病毒文件
打开安全百宝箱中的文件粉碎器，添加各个盘符下的病毒文件ntldr.exe并全部粉碎。
+ S  V9 V" X2 W

- e0 s8 \# E& X7 c

2 O' o1 A' O. _- e% [四：清理异常的autorun.inf和病毒破坏。
0 r1 |+ {5 }& ^& s1 F9 V: }点击清理专家的恶意软件扫描功能，全选后清除选定项。（全选后“异常的autorun.inf”前会勾选）

2 ^& v# L( ^! ^5 ]
9 N+ P; g& K1 f8 i' }4 D

五：重启后升级毒霸病毒库全面杀毒确保没有漏掉其他病毒
/ b( p) q" W% R) h(重启后可能没有桌面任务栏，手动加载explorer或者再重启一遍计算机即可。)


, h1 n- f; |+ u1 @6 S清理专家手动杀毒的参考教程如下：
http://bbs.duba.net/thread-21849402-1-3.html
# ~* e- C4 E% W! }5 t5 ~; y
% T" p+ ~3 G  O& ?4 Q  i0 Q2 p
; p9 k& q' P, y/ G* F- D9 L, K
0 Z  W* J. T# U[ 本帖最后由 papa 于 2007-12-3 11:19 编辑 ]

huruochen203

学习一下,顶

282204495

学习。

youthnet

呵呵暂时还没看见这个病毒！{78}

13567815411

终于找到解决的方法了，谢了

什么

好象有对抗杀软的非木马病毒爱用这招

tpmqj

顶起!

meng513785753

分析病毒真好

yynn

照这种方法弄完后,可是一磁盘碎片整理又出现一大堆