瑞星專家以一起典型的案例給大家略作膚淺分析將處理經驗與大家共享對大家的實際問題處理做個“模范帶頭”作用
病毒現象
a) 桌面有多個“頑固”快捷方式如“免費電影”“淘寶購物”“美女圖片”等其中部分為仿冒的“假IE浏覽器圖標Inteenet Explooer” 以上“頑固圖標”無法手動刪除刪除時提示文件正被另一個用戶或程序使用
b) IE浏覽器主頁每次都被修改為即使將IE主頁已經設置為空白也仍舊會在打開IE後“被訪問”這個名為“我的網址導航”的導航站點
c) 系統中出現與系統進程“explorerexe”和“smssexe”同名的異常進程
分析與思考
用戶在嘗試刪除這些異常的快捷方式時彈出的提示信息是windows默認的提示這個提示並不陌生顯然這些快捷方式在刪除時確實是被其它程序正在使用這很可能是病毒惡意進行保護的手法針對此類情況可嘗試從異常的進程或異常的動態鏈接庫下手進行異常項目檢查較為合理
雖然已經明確將IE設置了使用“空白頁”但是頁面還是默認訪問了某個地址並且這個操作似乎是在調用IE本身的某些功能強制IE訪問了某些地址這個應該嘗試從IE的注冊表加載項入手來梳理才好
檢測和手動處理方法
檢測工具wsyscheck
刪除異常進程
經使用wsyscheck 發現異常進程“explorerexe”和“smssexe”所在目錄與正常的“explorerexe”和“smssexe”系統進程所在的目錄不同
使用wsyscheck 選擇異常進程後右鍵點擊菜單中的“結束進程並刪除文件”
刪除異常的注冊表加載
使用wsyscheck 切換到“安全檢查”“IE安全”項目下可發現三項異常的注冊表加載信息右鍵點擊菜單中的“修復所選項”來清除異常的IE浏覽器加載項目
刪除異常的“開始菜單”“啟動”項目
使用wsyscheck 切換到“安全檢查”“活動文件”項目下可發現在系統的“All User[開始]菜單程序啟動”目錄下有異常的快捷方式右鍵點擊菜單中的“修復所選項”來清除異常的快捷方式啟動加載項目
總結
完成以上操作後再次嘗試手動刪除桌面那幾個惱人的快捷方式就會發現這些惱人的快捷方式終於可以成功刪除了!再打開IE浏覽器看看現在也不“被訪問”那個“網址導航站了”默認就老老實實的停留在筆者設置的“空白頁”上
至此針對用戶遇到的這個“桌面惡意快捷方式”算是處理干淨了無非也就是從注冊表的浏覽器默認加載項目異常文件和異常的啟動項目入手層層入手抽絲剝繭似的處理罷了
From:http://tw.wingwit.com/Article/Common/201311/6973.html
