熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

如何清除玉兔病毒

2013-09-12 15:53:55  來源: 網絡技術 

  由於熊貓燒香病毒源代碼的洩露,該病毒的變種仍然橫行於世。玉兔病毒就是變種之一。它能夠破壞系統的安全模式,讓用戶無法進入安全模式查毒。面對這種情況,我們又該怎麼辦呢?
  安全診所來了一位求診者小王,他的電腦已經中了病毒,請求電腦安全醫生診治。醫生發現小王電腦中可執行程序的圖標都變成了玉兔的圖標(圖1),雙擊盤符都無法進入磁盤,很多程序都無法正常運行。小王重新安裝系統後,馬上又被同樣的病毒感染而系統崩潰。安全醫生憑著對病毒敏銳的直覺,斷定小王的電腦感染了最近非常活躍的玉兔病毒。
玉兔病毒檔案
  玉兔病毒會破壞安全模式,使用戶無法進入該模式殺毒。玉兔病毒在每個盤符生成病毒文件和Autorun.inf文件後,只要雙擊盤符就可以感染。玉兔病毒會結束安全軟件及其他一些常用的安全輔助工具運行。玉兔病毒還修改注冊表導致用戶無法正常查看隱藏的系統文件,從而達到不被查殺的目的。
巧避鋒芒清除病毒
  首先,要清除盤符裡的病毒文件和Autorun.inf文件,以防止病毒繼續擴散。因為病毒的原因,我們不能夠正常進入注冊表和使用冰刃檢查系統。但是我們可以使用超級巡警綠色版本,因為病毒並不能關閉超級巡警。
  進入“進程管理”選項,很快發現bryato.exe、severe.exe、loveRabbit.exe等3個可疑的病毒進程。TW.WiNgwit.Com其中bryato.exe是盜取QQ密碼的木馬,而另外兩個是玉兔病毒的進程。這三個進程都插入了bryato.dll運行。
  由於病毒進程具有關閉後馬上重啟動的特點,首先選中三個進程,然後右鍵單擊三個進程選擇“禁止進程創建”命令,接著右鍵單擊三個進程選擇“強制卸載標記模塊”命令(圖2),這樣便暫時終止了這幾個進程。
  進入“啟動管理→注冊表”選項,很快發現了bryato.exe和severe.exe的非法啟動項目(圖3)。右鍵單擊這兩個啟動項目,選擇“刪除啟動項”命令予以清除。
揪出系統深處的病毒
  此時,病毒還潛伏在系統深處,還需要我們進一步清理。進入“進程管理”,仔細分析一些系統進程,根據文件創建和其他信息馬上發現了Winlogon.exe系統進程被插入了msexch400.dll這個病毒文件,記下文件位置,接著選中該文件後右鍵單擊選擇“強制卸載標記模塊”命令(圖4)終止病毒進程。
  在conime.exe進程發現被插入了bryato.dll,選中該文件後右鍵單擊選擇“強制卸載標記模塊”命令終止病毒進程。接著重新啟動計算機,刪除記下的病毒文件。
  再次重新啟動計算機,此時已經可以進入注冊表編輯器,進入HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL子項,發現右側的ChekedValue鍵值為1,當然無法顯示隱藏的病毒文件了,修改為0。
  之後便可以顯示隱藏的病毒文件了,最後刪除導致無法雙擊打開盤符的Autorun.inf文件以及相關的OSO.exe即可。

 
From:http://tw.wingwit.com/Article/Network/201309/447.html
  • 上一篇文章:

  • 下一篇文章:
  • Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.