熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

如何清除AV終結者

2013-09-12 15:53:48  來源: 網絡技術 

  送走了讓人聞風喪膽的“熊貓燒香”,近日又有一種超破壞力的病毒“AV終結者”大肆席卷互聯網,不到一個月時間,變種就已達數百個之多,波及人群超過十幾萬人。由於這款病毒破壞力十分霸道,一旦感染就很難清除。
  那麼“AV終結者”到底是什麼?其實它就是由隨機8位數字和字母組合而成的病毒,是閃存寄生病毒,其傳播是通過閃存等存儲介質或者注入服務器來實現的。
  我們要如何預防這顆互聯網超級炸彈?萬一被它攻陷了電腦,重裝系統後仍無法清除,我們又該怎麼辦?本文將為您消除所有的疑惑,打造一個安全的操作系統,保障您的財產安全以及機密信息不會受到損失。
“AV終結者”憑什麼這麼“跩”
1.生成隨機文件名
  對“AV終結者”的樣本文件進行分析後,可以發現其手段相當的毒辣。病毒運行後會在系統中生成如下幾個文件:C:\program files\Common Files\Microsoft Shared\MSInfo\隨機生成病毒名.dat、C:\Program Files\Common Files\Microsoft Shared\MSInfo\隨機生成病毒名.dll(圖1)、C:\windows\隨機生成病毒名.hlp、C:\windows\help\隨機生成病毒名.chm。
  “AV終結者”的病毒名是由大寫字母+數字隨機組合而成的,其長度為8位,可以說生成相同病毒名的概率是極小的。TW.WINGwIT.cOm因此即使我們知道了這是病毒生成的文件,也別指望通過病毒名在網絡上找到病毒的清除方法。
2.通過“自動播放”傳播
  病毒運行後會在本地磁盤和移動磁盤中復制病毒文件和anuorun.inf文件,當用戶雙擊盤符時就會激活病毒,即使重裝系統,也是無法將病毒徹底清除的。這是目前很多病毒熱衷的傳播方法,不少用戶也懂得需要刪除病毒生成的anuorun.inf文件,但是當我們進入“文件夾選項”,想顯示隱藏文件時,可以發現這裡已經被病毒給禁用了。
3.干掉殺毒軟件
  針對殺毒軟件的攻擊,是“AV終結者”的特點。病毒會終止大部分的殺毒軟件和安全工具的進程。國內絕大多數的殺毒軟件和安全工具都被列入了黑名單。當殺毒軟件暫時失去作用時,病毒就會乘勝追擊,通過一種“映像劫持”技術將殺毒軟件徹底打入死牢。
  “映像劫持”會在注冊表的“HKEY_LOCAL_MACHINE\SOFTWAR E\Microsoft\Windows NT\CurrentVersion\ Image File Execution Options”位置新建一個以殺毒軟件和安全工具程序名命名的項。建立完畢後,病毒還會在裡面建立一個Debugger鍵,鍵值為“C:\PROGRA~1\COMMON~1\MICROS~1\MSINFO\05CC73B2.dat”(圖2)。這樣當我們雙擊運行殺毒軟件的主程序時,運行的其實是病毒程序。
4.注入系統進程
  為了避免在“任務管理器”中露出破綻,病毒會將自己的進程注入到系統的資源管理器進程explorer.exe中,這樣我們就無法通過“任務管理器”發現病毒的進程了。病毒進程的主要作用是監視系統中的用戶操作,例如你想手動清除病毒,修改注冊表,病毒每隔一段時間就會把注冊表改回去,讓你白費勁。另一個作用是監視IE窗口,發現用戶搜索病毒資料時,立即關閉網頁。
  此外,病毒還會破壞Windows防火牆和安全模式,封堵用戶的後路。最重要的是,病毒會從網絡上下載大量的盜號木馬,盜取用戶的游戲賬戶信息,這才是“AV終結者”的真正目的。
徹底清除“AV終結者”
  手動查殺“AV終結者”相對於其他病毒來說比較困難,因為它有不少保護措施。但保護措施做得再好還是有破綻可尋的,清除病毒可以按照以下步驟:
  Step1:運行“任務管理器”,結束其中的“explorer.exe”進程。單擊“任務管理器”的“文件”菜單,選擇“新建任務”,輸入“regedit”運行“注冊表編輯器”。定位到HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall處,將Check edValue的鍵值改為“1”(圖3)。
  Step2:在“注冊表編輯器”定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options,將以殺毒軟件和安全工具命名的項刪除。
  Step3:在“資源管理器”中單擊“工具”菜單→“文件夾選項”,切換到“查看”標簽,取消“隱藏受保護的操作系統文件”前面的鉤,然後選中“顯示所有文件和文件夾”選項。根據上文中提供的路徑刪除所有病毒文件。刪除其他分區中的病毒,注意不要雙擊進入盤符,而要用右鍵點擊進入。
如何預防“AV終結者”
  首先,要禁止自動播放功能,並及時更新最新系統補丁,尤其是MS06-014和MS07-017這兩個補丁。
  其次,要限制IFEO的讀寫權,達到限制病毒通過IFEO劫持殺毒軟件的目的。操作方法如下:單擊“開始→運行”,在命令行中輸入regedit32 ,找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu tion Options,右鍵單擊此選項,在彈出的菜單中選擇“權限”,然後把Administrors用戶組和Users用戶組的權限全部取消即可(圖4)。
  最後,要限制SAFEBOOT的讀寫權,達到限制“AV終結者”修改或刪除Drives,保護安全模式正常運行的目的。操作方法如下:同樣是在32位注冊表中找到 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D3 6E967-E325-11CE-BFC1-08002BE 10318}和HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\ Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318},將Administrors用戶組和Users用戶組的權限全部取消即可。
  編後:本文介紹的清除方法需要手動操作,對注冊表不熟悉的朋友可以用“AV終結者”專殺工具,並配合SREng、Autoruns、IFEO映像劫持修復工具、修復安全模式.REG、恢復顯示隱藏文件.REG使用,也可以徹底清除病毒,這些軟件都可以到http://www.cpcw.com/bzsoft下載。

 
From:http://tw.wingwit.com/Article/Network/201309/418.html
  • 上一篇文章:

  • 下一篇文章:
  • 推薦文章
    Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.