| 病毒名稱(chēng) Trojan.QQMSG.WHboy.mn 別 名: 武漢男生變種MN 依賴(lài)系統 :WIN9X/NT/2000/XP 傳播途徑 :網(wǎng)絡(luò )傳播 行為類(lèi)型 :WINDOWS下的木馬程序
遍歷窗體，自動(dòng)關(guān)閉包含以下字符串的窗體： “注冊表”“系統配置實(shí)用程序”“QQKav”“天網(wǎng)”“密碼防盜”“綠鷹PC”“防火墻”“進(jìn)程”“網(wǎng)鏢”“任務(wù)管理器”“殺毒”“超級兔子”“優(yōu)化大師”“木馬克星”“QQAV”“毒霸”“黃山IE”“騰訊公司QQ”“QQ病毒”“xleo”“whboy”“Windows 任務(wù)管理器”“ThunderRT6formDC” 等 病毒運行后將自身復制到Windows系統目錄下，文件名為“svohost.exe”，同時(shí)修改注冊表項目實(shí)現開(kāi)機自動(dòng)運行。病毒將IE的首頁(yè)修改為“http://www. ***iex.com”(有的不修改)，使用戶(hù)每次打開(kāi)IE都會(huì )瀏覽該病毒網(wǎng)站。該病毒會(huì )造成多種殺毒軟件和常用軟件無(wú)法使用，還會(huì )從“http://mp3.***o.com/228.exe”網(wǎng)站下載病毒文件并運行(用戶(hù)有時(shí)不會(huì )覺(jué)察)。 病毒一旦運行，釋放自己的副本到 %windir% 目錄，文件名為"svohost.exe"，同時(shí)修改注冊表 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun 修改鍵值"ctfnom.exe"為"%windir%svohost.exe"； 修改IE主頁(yè)的默認地址 HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain子建下的"Start Page"項為"http://www.joyiex.com" (也有例外不修改) 病毒的刪除方法
1.打開(kāi)CMD.輸入命令tasklist回車(chē)查看一下..果然發(fā)現了這個(gè)進(jìn)程:svohost.exe(雖然他禁用了任務(wù)管理器,但在CMD下用tasklist命令還是可以查看到進(jìn)程信息的)
2.關(guān)了他.輸入命令taskkill /f /im svohost.exe
提示成功.
3.搜索svohost.exe這個(gè)文件(把搜索隱藏文件也勾上)搜索到后刪除!似乎有兩個(gè).一個(gè)是完全大寫(xiě)的.一個(gè)是完全小寫(xiě)的.事實(shí)上還有一個(gè)程序叫lsasa.exe的也得刪除.他模仿的是WINDOWS的正常進(jìn)程lsass.exe.操作到這里大家應該可以打開(kāi)注冊表 任務(wù)管理器了但是 請馬上去這個(gè)地址下載這2個(gè)工具http://free.ys168.com/?caiqcjd
txt.reg 3.9KB 恢復TXT文件關(guān)聯(lián)
exefiles.rar 1.4KB 恢復EXE文件關(guān)聯(lián)
備注 部分出現結束進(jìn)程后病毒 暫時(shí)失效 但是重起后死灰復燃 請注意在造作成功后 馬上利用自己的殺毒工具 或者 QQ專(zhuān)殺進(jìn)行殺毒 因為這個(gè)時(shí)候病毒的殼被去掉了 我們可以抓住這個(gè)時(shí)機做下殺毒
4.本以為沒(méi)問(wèn)題了.后來(lái)還發(fā)現一個(gè)問(wèn)題.他還修改了注冊表的一處,使文件夾選項中對隱藏文件的設置始終為"不顯示隱藏文件"，這么做的主要目的在于讓你在WINDOWS環(huán)境下找不到被設定隱藏屬性的病毒源文件.但這里還有幾種手段可以找到他.1.用WINDOWS的搜索.只要在高級選項里把"搜索隱藏的文件和文件夾"勾上就可以找到了.2.在命令提示符里用dir /a命令也可以查看到.麻煩一點(diǎn)罷了.由于WINDOWS和SYSTEM32目錄下文件太多.用dir命令的時(shí)候.最好再加一個(gè)參數.dir /a /p這樣會(huì )更好.
我們到注冊表里去把他改回正常狀態(tài).
打開(kāi)注冊表.找到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL這個(gè)鍵.看右邊.找到一個(gè)CheckedValue的值.我注意到這個(gè)該死的病毒居然把他改成了字符串值.如果你不小心的話(huà).也許會(huì )認為改了也沒(méi)用.把這個(gè)值刪除.重建一個(gè)DWORD的值為CheckedValue.把他的值設為1.
| 
