打印

流行U盘病毒汇总与通杀方案

本主题由一把锈剑于 2007-12-7 21:22 加入精华

papa

中将(版主)

积分: 599
威望: 763
元宝: 0
铜钱: 496

1楼大中小发表于 2007-12-7 18:21 只看该作者

流行U盘病毒汇总与通杀方案

最近一段时间几个难缠的U盘病毒感染量比较大，用户为此比较苦恼。毒霸对这些病毒虽然可以查杀，但也难免病毒再生变种。

本文介绍目前U盘病毒流行的破坏方式，并以本周流行的sos.exe为例，解释此类病毒的处理思路。3 o: N% @2 h! U/ {8 Z

   文章最后提供最近几个感染大，并且破坏力较大的U盘病毒通杀批处理，并会定期更新。由于个人能力与时间有限，所以目前批处理主要处理流行的U盘病毒。相关病毒在网上以及毒霸论坛内可搜索的关键字如下：

XP.EXE、ntldr.exe、snow.exe、sbl.exe、sos.Exe、HDM.exe、auto.exe、sbl.exe金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net4 O& J) y, a6 c) b3 S8 U
logogogo.exe、Rxpmon.exe、Systom.exe、snowfall.exe、TxHMoU.Exe、dream.exe金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net" K# J  h2 w& u0 M! [, T+ T) D) U2 J. Q
C0NIME.EXE、soundmno.exe、BoBoTurbo.exe、ati2evxx.EXE、36Otray.exe爱毒霸社区7 }9 p9 B. k' C5 c+ l
爱毒霸社区: z& K; B0 `* P/ o0 w+ Q+ O
（注：如果毒霸升级到最新病毒库后无法处理的话，请按照文章最后提供的方法提交样本文件，以便分析与更新毒霸和批处理。声明：该批处理写入了针对病毒的映像劫持，以达到免疫和阻止之前被感染文件释放还原主文件的作用，但还是建议用户升级杀毒软件到最新后杀毒处理。）爱毒霸社区8 {+ f  i) j8 i2 n8 {. ^, J& m

爱毒霸社区- R7 F& y4 x7 ^& @1 [0 }3 `/ }/ H
目前U盘病毒流行的破坏方式
爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具) H  d$ n# ~  ?7 Q! z
1.为了隐藏自己锁定文件夹选项导致无法显示隐藏文件或者屏蔽文件夹选项。如图所示：

bbs.duba.net2 \+ m5 j! a9 c' @7 m
爱毒霸社区 C# L; S1 J' g( I* i+ G
2.为了降低用户无法看到病毒进程禁用或者关闭任务管理器。如图所示：

3.为了防止用户安全模式杀毒删除注册表键值导致进入安全模式时异常报错。
bbs.duba.net+ n0 Q+ C: |8 n2 N
4.为了防止杀毒更新后写入映像劫持或者修改系统时间，导致系统重启后杀毒软件无法运行。如图所示：金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net; J0 @ D d, A0 y( \, C2 T

bbs.duba.net6 [9 W- |* b+ R* \9 ~0 [+ T
5.感染可执行文件，导致运行被感染的文件后自动恢复病毒主文件。爱毒霸社区, c; M. w% R5 H6 i" V' y

6.释放大量木马以及下载器源源不断地破坏挖掘用户主机资源。

7.在各个盘符下留下autorun.inf文件，导致磁盘无法格式化等。$ Q d& w( l3 V5 X9 T7 F

0 n( I$ j7 C$ Z  S) p$ u
U盘病毒清除举例

样本名称：soS.exe 毒霸检测：Win32.TrojDownloader.Agent.90112
爱毒霸社区9 L) f. U3 g( n+ v+ U$ |
病毒注入分析：爱毒霸社区: [0 l# B9 a& S  z5 q
加入启动项
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net! M6 N4 x$ P5 W* J
<crsss><C:\WINDOWS\system32\TxHMoU.Exe>
释放C:\WINDOWS\system32\TxHMoU.Exe
全盘根目录留下soS.Exe和autorun.inf文件
0 C; C) D" Y7 \1 s" P
清理步骤：爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具0 J- ^* ]1 y: a  G3 q. K9 q
金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net5 t8 h2 k- [; @' [/ ]
(由于毒霸2008默认安装金山系统清理专家，所以以清理专家为例。如果无法运行的话将清理专家主文件kasmain.exe改名为其他可执行文件即可。如:papa.com,093.pif等。）
爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具& E) E/ A) m( L+ }
1.运行清理专家中的进程管理工具结束病毒进程。如图所示：爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net# [, s  ?4 Z' ?/ b! k3 C2 c

金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net! \3 {" `$ D! @+ l# q p
2.使用文件粉碎器粉碎病毒文件。如图所示：

! [/ {9 f& f$ D
爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具4 R- e/ G) H6 n
3.使用清理专家清理恶意软件。如图所示：爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net6 U1 y( y9 J* {- ?. o- T

爱毒霸社区, R; ~! i; P0 x1 w+ D  W
+ |+ a4 A$ w1 r- Y' h
下载如下帖子中的修复工具修复文件夹选项以及任务管理器被禁用的问题。爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net9 b% x" _8 E2 u% y; }( e3 Z
http://bbs.duba.net/thread-21849402-1-6.html爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具+ e9 o5 ^2 t5 D& d" {
. [4 P  |7 |0 `5 f0 T! p$ @

流行的几个U盘病毒的分析与处理方案爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具0 p3 ^3 Z& U7 M8 d

梦中情人系列病毒：http://bbs.duba.net/thread-21840742-1-2.html金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net! E7 R# J6 D: l2 U/ I% N; M

恐怖鸡感染号系列变种：http://bbs.duba.net/thread-21853226-1-1.html爱毒霸社区" l$ B6 g7 ]9 n
bbs.duba.net7 H9 b" w2 c0 F" x0 l. O2 j
Auto.exe变种：http://bbs.duba.net/thread-21852688-1-1.html爱毒霸社区0 s1 e  S4 @$ A2 T( V
; C7 A- N, W# _8 i2 r, q* _
一个黑吃黑的“AV”病毒：http://bbs.duba.net/thread-21855523-1-1.html

bbs.duba.net" e% d8 z0 b3 d/ \& h& C
流行U盘病毒清理批处理
[attach]16073347[/attach]
金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net0 Q! `/ ?3 ]: r& c
（注：部分中毒主机运行需要稍长一段时间，请耐心等待。)

爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net; U! g0 b* T8 L- J/ y' ?  F" i0 M
未知U盘病毒的提取爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net4 U2 z$ m" R. W8 N  p8 d" P
/ F$ x+ ~  |4 ^
U盘病毒以及变种都非常多，本文提供的批处理仅处理最近比较流行的几个并定期更新。如果毒霸最新病毒库也无法查杀的话，请按照如下方法提交您的样本进行分析：金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net& @; Q# ?: l1 _) x) W4 F

1.使用WinRAR浏览盘符可以看到盘符下隐藏的autorun.inf和病毒文件。
浏览技巧：点击向上一级的箭头可以进入上一级目录，单纯提取样本的话输入盘符目录“X：”即可。(X表示要访问的盘符，两个引号不输入。)如图所示：

爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具; N1 x# B7 ?; t, n
爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具# P+ [6 q+ E8 G+ M. `8 }- x9 h6 g
2.全选病毒样本文件后添加压缩包，点击【高级】——【设置密码】——『输入密码』——【确定】如图所示：爱毒霸社区+ `2 k- r- W1 w' R

& H8 N8 z& Q6 i0 f+ N
注意：密码设置建议使用123456如有修改，请在提交时注明解压密码。例如：解压密码为:papa。爱毒霸社区8 S4 e2 q  r: m/ T

3.将对应盘符跟目录下新生成的RAR压缩包上传至论坛的可疑文件上传区发帖上传即可。
网址为：http://bbs.duba.net/forum-3252-1.html金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net7 z0 W( g$ d2 W. p& y  {
爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net, _4 b$ T, R  \( I9 g- O7 r, V) H
爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具0 D! P1 X. E6 P& `
[ 本帖最后由 papa 于 2008-1-15 18:05 编辑 ]