裘醫生接診了一位病毒受害者——王方。王方的《傳奇》賬戶被黑客盜走，雖然通過努力取回了賬戶，但還是有很多昂貴的游戲裝備消失了。因此，他懷疑電腦感染了病毒。在給他的電腦進行檢測的過程中，裘醫生發現電腦IE經常自動彈出網頁。當他觀察任務管理器時，發現有幾個“iexplore.exe”進程和一些陌生進程（如：updaterun.exe）。www.sq120.com推薦文章
這時，裘醫生已經可以確診，王方的電腦感染了死神下載者病毒。這是一個非常狡猾的病毒，會造成很多殺毒軟件及個人防火牆軟件無故退出。該病毒運行後會從黑客指定的網站下載其他的病毒及木馬，下載的這些惡意程序會竊取用戶的網絡游戲賬號、密碼等信息，給用戶的信息安全帶來很大威脅。
病毒檔案
死神下載者病毒可以通過郵件、惡意網站等途徑傳播，可以通過IE的漏洞對系統進行入侵。該病毒還可以在盤符下生成autorun.inf和可執行病毒文件，插入閃存就會被感染。由於該病毒采用的隱藏方式比較多，清理起來有些麻煩。
快刀斬病毒
裘醫生自信滿滿地在王方的電腦上打開Process Explorer，首先觀察到幾個明顯的病毒進程（如：117929271962.exe、902.exe、Updat erun.exe等），對它們都可以通過右鍵菜單命令“Properties”查看屬性獲得其路徑（圖1），然後通過右鍵菜單命令“Kill Process”殺除該進程，最後刪除該進程文件。tW.wingwit.cOM
進行以上操作後，裘醫生發現了幾個可疑的進程，貌似系統進程卻可能是病毒的載體。於是，裘醫生右鍵單擊一個rundll32.exe進程選擇“Properties”命令，果然發現它的Command line為“C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\vxlu\ihve.dll,Service –s”。其實這就是運行了ihve.dll這個病毒程序的結果。
右鍵單擊該進程選擇“kill Process”命令予以殺除，接著進入相應目錄刪除病毒文件。對另一個rundll32.exe進程和rundll2000.exe進程加載的病毒進行類似操作也是必要的。
裘醫生還發現系統啟動了幾個iexplore.exe進程，這些進程在做什麼呢？右鍵單擊其中一個IE進程選擇“Properties”命令，發現它的Command line為“C:\Program Files\Internet Explorer\IEXPLORE.EXE“ http://www.zhugui1234.cn/qq/qb.htm”，也就是調用IE連接“ http://www.zhugui1234.cn/qq/qb.htm”這個網址（圖2）以連接病毒下載網站和廣告彈出網頁。 對三個IE進程都進行“Kill Proc ess”命令操作予以殺除就可以了。
病毒隱身照樣殺
以上操作還是不能保證重新啟動後，系統不被隱藏極深的病毒破壞。因此，裘醫生決定對系統做一次深入的“全面體檢”。
裘醫生使用擅長調整修復系統的SREng來分析系統。一打開SREng就彈出警告信息，顯示為API Hook錯誤（圖3）。API HooK技術是一種用於改變API系統函數執行結果的技術，可以被病毒用來隱藏自身。
裘醫生點擊“修復入口點錯誤”按鈕以查出隱身的病毒。當SREng切換到“啟動項目”選項時，馬上彈出警告信息，提示注冊表值Userinit被修改。病毒很可能通過該鍵值進行了加載，打開該鍵值發現被修改成了“C:\WINDOWS\system32\userinit.exe,c:\WINDOWS\tGGRk.exe”，而正確的應該是“C:\WINDOWS\system32\userinit.exe,”修改回來並刪除tGGRk.exe。
通過上面的清除發現病毒文件有些是通過服務加載的。切換到“服務”選項，點擊“Win32服務應用程序”按鈕，在彈出的窗口果然發現了病毒的服務，接著就嘗試刪除所有病毒服務和病毒服務的映像文件。打開超級巡警，在超級巡警的“服務管理”選項，右鍵單擊病毒服務，選擇“刪除服務和映像文件”命令即可。
由於死神下載者病毒下載了木馬病毒來控制感染病毒的電腦。接著就是清除死神帶來的木馬了。選擇超級巡警的“進程管理”選項，檢查Explorer.exe這個系統Shell進程發現了灰鴿子2007的服務端文件G_Server2007.dll，於是右鍵單擊該文件選擇“強制卸載標記模塊”命令，然後刪除該文件即可。
From:http://tw.wingwit.com/Article/Network/201309/456.html