20CN网络安全小组论坛 - 病毒专区

论坛: 病毒专区标题: 好讨厌呀~~~~~~！

复制本贴地址

作者: xiezhibin [xiezhibin]

论坛用户

为什么每次我开机都有INTERNET连接的窗口打开呀？！就像是装系统时还没安装IE连接一样啊。。。

地主发表时间: 12/11 12:55

回复: fqjpower [fqjpower]

论坛用户

你的桌面上是不是还有INTERNET连接向导？？？如果是，拖到垃圾箱。然后击鼠标右键，点“属性/连接/局域网设置”，将里边的所有勾全部点掉，然后点“确定”，98稍有不同，自己看吧！

B1层发表时间: 12/11 13:23

回复: xiezhibin [xiezhibin]

论坛用户

没有连接向导呀，，，

那是之前我中镖了呀，不知道谁用我的机去打开过有恶意代码的网站啊。
我看书看了点，去改我的注册表去搞定它的，在最后想删除收藏夹那的保留，不小心又让我点击中了，好惨~！再就是不知道怎么搞的，把自己机的开始菜单那的“运行”和“注销”都不见了。。。我就用系统盘去修复过系统啊。过后就每次开机都有INTERNET连接向导的窗口了，不管你在那打不打钩都一样会弹出来（提示下次启动不显示该窗口）。现在“运行”和“注销”回来了，恶意代码网站也搞定了。就剩下这个窗口呀。。。
谢谢你呀~！

B2层发表时间: 12/11 13:35

回复: fqjpower [fqjpower]

论坛用户

    当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。
解决办法：运行注册表编辑器regedit.exe，然后依次展开
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run
主键，然后将其下的registry.exe子键删除，然后删除自运行程序c:\Program Files\registry.exe，最后从IE选项中重新设置起始页。
“浏览网页开始菜单被修改”这是最“狠”的一种，让浏览者有生不如死的感觉。浏览后不仅有类似上面所说的那些症状，还会有以下更悲惨的遭遇：
1)禁止“关闭系统”
2)禁止“运行”
3)禁止“注销”
4)隐藏C盘――你的C盘找不到了！
5)禁止使用注册表编辑器regedit
6)禁止使用DOS程序
7)使系统无法进入“实模式”
8)禁止运行任何程序
    “万花病毒”就是采用了以上的方法。该病毒是在一个叫“万花谷”的网站传出，这是利用Java 最新技术进行破坏的一个恶意代码。该病毒的技术特征和修复方法：
    JS/On888是一个新的含有有害代码的ActiveX网页文件，它通过在一个网络地址来对计算机用户造成破坏,其破坏特性如下：
（1）用户不能正常使用WINDOWS的DOS功能程序；
（2）用户不能正常退出WINDOWS，
（3）开始菜单上的“关闭系统”、“运行”等栏目被屏蔽，防止用户重新以DOS方式启动，关闭DOS命令、关闭REGEDIT命令等。
（4）将IE的浏览器的首页和收藏夹中都加入了含有该有害网页代码的网络地址。
具体的表现形式是：
a网络地址是：www.on888.xxx.xxx.com；
b在IE的“收藏夹”中自动加上“万花谷”的快捷方式, 网络地址是："http://96xx.xxx.com";
    进入该网页的话，如果你的浏览器的版本在IE4.0以上，那么该网页显示的是一个有光效滤镜的网页，随着鼠标的移动，会造成光线照在网页图片不同地方的效果，光效一共有4种。
首页通过系统注册表项
HKEY_LOCAL_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", 设置成为"on888.xxx.xxx.com/";
    为了达到该网页文件的破坏性，该ActiveX 对系统的注册表做了如下的修改：
首先在开始菜单上禁止了“运行”项目，使用户不能通过通常的注册表编辑器来修改该有害网页对系统注册表的修改：
以下的注册表项表现在没有“运行”菜单：
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoRun"；
以下的注册表项表现在没有“关闭系统”项目：
“HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoClose"；
以下的注册表项表现在没有“注销”项目；
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoLogOff"；
以下的注册表项表现在没有所有的逻辑驱动器：
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoDrives"；
以下的注册表项表现在禁止注册表的编辑工具REGEDIT：
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Sys
tem\\DisableRegistryTools
以下的注册表项表现在没有桌面：
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoDesktop"；
以下的注册表项表现在禁止运行所有的DOS应用程序；
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\WinOldApp\\Disabled"；
以下的注册表项表现在系统不能启动到“实模式（传统的DOS模式）”下；
"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\WinOldApp\\NoRealMode"；
以下的注册表项表现在WINDOWS系统登录时显示一个登录窗口（在MICROSOFT 网络用户登录之前）：
"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeCaption",（窗口的标题是） "欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!");
"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeText", （窗口中的文字是）"欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!");
以下的注册表项表现在所有IE的窗口都会加上以下的WINDOWS标题窗口：
"HKLM\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", "欢迎来到万花谷!请与OICQ:4040465联系!");
"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", "欢迎来到万花谷!请与OICQ:4040465联系!");
    最后的表现是在用户的计算机的IE浏览器上打开无数的窗口，使得IE根本无法使用。同时用户正常的一些功能：桌面、开始中的运行、DOS方式、REGEDIT等都无法使用。
    受害用户的修复方法：系统的注册表的恢复，建议用户使用F8启动到MSDOS方式下，使用SCANREG/RESTORE命令来恢复原来正常的注册表。
恢复系统注册表时必须将WINDOWS登录时的键值同时修改，去掉登录时出现的WINDOWS登录的对话框，具体涉及的注册表键值是：
"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeCaption"（窗口的标题是） "欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系，和
"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", "欢迎来到万花谷!请与OICQ:4040465联系!"
以避免计算机的IE浏览器上打开无数的窗口，使得IE无法使用。
对于IE收藏夹中的地址信息去掉的方法是：将WINDOWS的安装目录（一般是WINDOWS）下的Favorites目录下的文件："万花谷.URL"删除该文件。
还有另一种恢复方法：该方法对WINDOWS9X有效，中毒后你找到WINDOWS下的系统备份文件恢复注册表。并把.HTA文件删除就可以恢复到没有中毒前的状态。

B3层发表时间: 12/11 14:17

回复: xiezhibin [xiezhibin]

论坛用户

高手~！现在“运行”和“注销”回来了，恶意代码网站搞定了啊。就剩下INTERNET连接向导的窗口这个窗口呀（提示下次启动不显示该窗口）。。。。

B4层发表时间: 12/11 22:16

回复: fqjpower [fqjpower]

论坛用户

再具体一点或给我哪个网站的网址！

B5层发表时间: 12/12 11:26

回复: xiezhibin [xiezhibin]

论坛用户

我想可能是我拿系统盘修复的原因较大。。。

网址我也不记得了
标题好像是：十八岁该上网了

可以给我你的QQ吗想和你交个朋友。。。我在是：397292

B6层发表时间: 12/12 19:33

回复: yy [yy]

论坛用户

格了重装

B7层发表时间: 12/13 12:02

论坛: 病毒专区