Auto木马群新变种PK金山毒霸2008三维防御体系

papa

Auto木马群新变种PK金山毒霸2008三维防御体系

本周auto.exe木马群再度变种，导致未升级到毒霸2008版本的毒霸2007用户毒霸监控无法启动。
该木马群近半年内多次大范围感染与多次变种，主要破坏杀毒软件监控、下载并更新盗号木马后台安装广告程序等。
当该病毒在安装毒霸2007版的电脑上运行后会关闭毒霸07版监控，手工启动毒霸监控时会有短暂的询问提示并一闪而过。如图所示：

当该病毒在安装毒霸2008版的电脑上运行后毒霸监控依然可以正常工作。如图所示：

一般的处理流程：
升级毒霸到最新，全盘杀毒，此时，应该能发现若干隐蔽软件和病毒，因病毒变种太多，无法保证清除所有AUTO木马群的病毒，但可以结合清理专家的联网安全认证功能，及强大的修复功能协助完成病毒清除和样本上报。

: ?7 U$ ^4 i; [0 P( L具体步骤请参考下面的内容：
2 D2 ?1 M" y3 N9 j- v: X' ]( ]
本周auto.exe木马群最新变种依然在各个盘符下释放了auto.exe以及autorun.inf文件。
# H: B+ s7 ^1 J. q7 |( q; k8 B在cmd命令行下查看explorer进程，可清楚地看到该病毒在进程中插入盗号木马线程以及随机dll文件。如图所示：
: w5 U) Y8 R2 L9 Q

& r7 T3 t- E0 R3 n  u+ ]' s
1 u. v) s  c6 M, }病毒在%systemroot%目录释放如下主要病毒文件
+ F. {3 z: S- a( ?8 a  E, e. P

病毒在%systemroot%\system32目录释放如下主要病毒文件

$ J  Z: D  h4 d
, f1 R) F5 X/ g3 i8 x6 o. b! l* D- L
Auto.exe木马群的处理思路
- |. b2 d/ A8 n; y; @- w4 S     由于该木马群频繁变种，导致杀毒软件部分文件不可查。针对此问题，安装毒霸2008的用户建议使用毒霸套装中的金山系统清理专家进行联网检测并提交病毒文件进行分析，以便问题的即时处理。提交病毒文件后尝试安全模式下运行清理专家的恶意软件扫描，将扫描后的恶意软件全选清除一般可以解决大多数可查木马。对于毒霸更新后仍无法处理的个别具有交叉感染的问题主机，可以通过提交清理专家检测报告到毒霸论坛向各路电脑高手寻求解决方案。

7 ]6 v/ m3 @3 u" ]
具体操作流程如下：
8 e9 R- V# |! e# `6 l: m联网状态下运行金山系统清理专家，点击『在线系统诊断』如图所示：
+ b$ g- m  H- z# `% t0 B  e

. S% c+ ]  P% N
' q2 A# v" y4 X) U# Q% q1 ]联机验证结束后点击『上传所有未知项』根据提示上传未知文件即可。如图所示：

5 g( L- O/ N/ ^, y, |# C: H5 C( n7 L3 f如果点击上传文件按钮后没有自动添加文件的话，是由于完全相同的文件已经在服务器上面被其他用户上传，并在后台处理分析中。如图所示：
# A2 w/ m; [5 q) i+ t5 ]

6 Z* w9 Y4 A+ {( ?: ?4 N, `6 b
上传样本文件后重启计算机按F8进入安全模式运行金山清理专家，点击『恶意软件查杀』将扫描到的恶意软件全选清除。如图所示：

/ C& A+ U! h2 X8 m3 e- E
& a0 a1 b5 q7 X0 o  a' |3 |& m2 z清除后重启如果仍然有异常并急需解决的话，请重新运行清理专家的『在线系统诊断』功能。
# X0 i0 h& J) j; J2 D) K9 M联机验证后点击『导出诊断报告』并确认勾选隐藏已知所有已知安全的项（默认勾选）如图所示：

1 u1 ?+ a! C5 u
4 e  C; Q6 O0 z2 Z& A8 @& [& }# b导出后记得点击『点击这里』按钮，将保存报告文件到一个可以记忆的磁盘位置。以便提交报告文件进行相应分析。如图所示：

" c2 i: ]- ~0 ?" H! X5 X结束语：
# r% p1 W1 W( ~
3 Z3 {- G. i1 f1 ]$ W( Z( T! U8 Q毒霸2008的三维防御体系更注重病毒的有效拦截与联网验证，从而提高了因对互联网病毒层出不穷现状的整体能力与反应效率。相信通过毒霸版本的更新换代会使广大毒霸用户得到更好的病毒防护体验。本文以auto.exe木马群为例，讲述了类似问题的处理思路希望对读者有所帮助。
. i( P0 ?# z5 Y1 i- b3 f6 g$ M

特别提示：
3 x- J$ o, j$ s# S目前金山毒霸2005/2006/2007单机版互联网套装用户的毒霸通行证在服务期限内的话，该通行证仍然可以激活使用金山毒霸2008套装。
* |) V  n/ q$ y* ^! a注意：安装新版本前一定要卸载之前的毒霸版本以避免冲突。如果由于某些特殊原因无法正常卸载之前的套装版本的话，参考如下卸载方法：
http://bbs.duba.net/thread-21861140-1-7.html
6 S9 l% D$ R- `1 d$ \' B

+ M# K) l* i6 i- y
" W) M: z& g: E5 @- s[ 本帖最后由 papa 于 2007-12-28 08:50 编辑 ]

铁军

08的自保护，对目前大多数病毒来说，完全有效，目前可以彻底搞掉毒霸08的病毒程序我还没弄到过。

自保护，是做出来用的，不是弄出来用冰刃测试的。

wanlf

开了08的网镖，连酷狗都联不了网

通灵蛤蟆

我这里没有啊 看来楼上的是不会用防火墙哈！ 网镖是简体中文的，已经够简单了。如果不会用的话，你装什么防火墙都可能无法联网。干脆安装时就别装了， 为你考虑哦！

wisful

2007的就那么倒霉吗?

ksdc0265129

tomato216

不知道我中的是不是这个,很象,我也能找出AUTORUN.INF文件
& N2 \0 Y+ {& k/ G2 ?$ i' A把我的360干掉了,由于刚装的系统,毒霸08还没来得及装,现在也装不上了
" c/ d. b/ Y, B4 ?& J搞了一大堆处理AUTO的方法和软件,全部是界面闪一下就没了,只留个图案...
在线杀毒查出一毒东西,可杀完重启再看还在.....
我要崩溃了....
不知道是不是这个,我这样该怎么搞呢?

shihaijun

虽然没有看懂还是顶哈

bxy6688

那我们07的正版用户,为什么还不尽快升级到08哪.

zyxxp168

幸好我的也是2008版本，^_^

fei3249110

我中过 不过网上有专杀 搞定了  

happypumpkin

我顶个

13321947938

毒霸是專業公司,要每月交錢給它,照理說客戶中毒,它應負責任..開發///研究//進取/好嗎?

13053771866

在线购买的2007用户怎么办，款已被金山划走

yxbo

我的是2008,可网镖不能用,有图提示:

T8843232

ly8634

我也是金山老用户了，从２００６年开始用，都是付费的，当初用２００５版，后来直接升级到２００７版，我们这些用户怎么自动升级到２００８啊？另外，还用装＂清理专家＂吗？

aidedin

你那机器中毒太深了和我的一个朋友一样,中了就连杀毒软件都安装不了为有用一个移动存盘先另一台机下载专杀那家伙.用同样的方法再下载金山去安装.

guyuedao

耶！刚升级就出事啦！
运好！准备去买彩票试试！

gx888

我昨天也中的这个，现在也不知道干净的没有。