20CN网络安全小组论坛 - 病毒专区 - W32.Lovgate.R@mm是什么病毒,怎么清除?

论坛: 病毒专区标题: W32.Lovgate.R@mm是什么病毒,怎么清除?

复制本贴地址

作者: fgt1218 [fgt1218]

论坛用户

W32.Lovgate.R@mm 是什么病毒,怎么清除?我的电脑中了这种毒,请各们大虾,帮帮忙,谢谢了!

地主发表时间: 04-06-13 05:12

回复: apolo [apolo]

论坛用户

该病毒为WORM_LOVGATE的变种，使用MAPI群发邮件。病毒所发送的邮件是以回复信的形式发至受感染系统，邮件的细节特征如下：

主题：Re: <原主题>

正文：

<原正文>
<域名>auto-reply:
wrote:
If you can keep your head when all about you
Are losing theirs and blaming it on you;
If you can trust yourself when all men doubt you,
But make allowance for their doubting too;
If you can wait and not be tired by waiting,
Or, being lied about,don't deal in lies,
Or, being hated, don't give way to hating,
And yet don't look too good, nor talk too wise;
... ... more look to the attachment.

> Get your FREE now! <

附件： (其中之一)
the hardcore game-.pif
? Sex in Office.rm.scr
? Deutsch BloodPatch!.exe
? s3msong.MP3.pif
? Me_nude.AVI.pif
? How to Crack all gamez.exe
? Macromedia Flash.scr
? SETUP.EXE
? Shakira.zip.exe
? dreamweaver MX (crack).exe
? StarWars2 - CloneAttack.rm.scr
? Industry Giant II.exe
? DSL Modem Uncapper.rar.exe
? joke.pif
? Britney spears nude.exe.txt.exe
? I am For u.doc.exe

该病毒还会在网络共享中生成自身拷贝。病毒使用一个口令列表尝试访问本地网络中的所有机器。如果访问成功，病毒会在机器中生成自身拷贝。

该病毒具有后门能力，表现为随机打开受感染系统的端口，然后将窃取到的重要信息发送给病毒作者。

该病毒同样可终止特定进程并在受感染系统中创建存档文件。

该病毒经过Aspack和Jdpack压缩，是用Visual C++编写的，可运行在Windows ME, NT, 2000和XP系统中。

解决方案:

以安全模式重启

在WindowsXP 系统中

重启机器

当提示出现时，按F8键。
如果Windows XP Professional 启动时没有出现按键选择操作系统启动菜单，重启机器。

在Power-On Self Test (POST)后，按F8。
从Windows高级选项菜单中选择安全模式，按回车。
在Windows2000 系统中

重启机器

当看到屏幕底部出现启动Windows横条时，按F8键。

从Windows2000高级选项菜单中，选择安全模式选项，按回车键。

在Windows NT 系统中(VGA 模式)

点击开始>设置>控制面板。
双击系统图标。
点击启动/关闭选项卡。
将显示列表选项设置为10秒，点击OK保存更改。
关闭系统然后重启。
选择启动菜单中的VGA模式。
注意：要删除启动列表菜单，将显示列表值改为0即可。

删除注册表中的自启动项目

从注册表中删除自动运行项目来阻止恶意程序在启动时执行。

打开注册表编辑器。点击开始>运行，输入REGEDIT，按Enter
在左边的面板中，双击:
HKEY_CURRENT_USER>Software>Microsoft>
Windows NT>CurrentVersion>Windows
在右边的面板中，找到并删除如下项目：
run = "RAVMOND.exe"
在左边的面板中，双击:
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>RunServices
在右边的面板中，找到并删除如下项目：
SystemTra = "%Windows%\SysTra.EXE"
%Windows% 是Windows文件夹，通常就是C:\Windows或C:\WINNT。
在左边的面板中，双击:
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run
在右边的面板中，找到并删除如下项目：
Hardware Profile = "%System%\hxdef.exe"
Program In Windows = "%System%\IEXPLORE.EXE"
Microsoft NetMeeting Associates, Inc. = "NetMeeting.exe"
VFW Encoder/Decoder Settings = "RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
Protected Storage = "RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
Shell Extension = "%System%\spollsv.exe"
%System%是Windows的系统文件夹，在Windows 95, 98, 和ME系统中通常是 C:\Windows\System，在WindowsNT和2000系统中是C:\WINNT\System32，在Windows XP系统中是C:\Windows\System32。
关闭注册表编辑器
注意：如果不能按照上述步骤终止在内存中运行的恶意进程，请重启系统。

禁用恶意服务

该步骤删除Windows NT, 2000和XP系统中运行的恶意服务。

打开命令提示符窗口。点击开始>运行，输入CMD，按回车。
在命令行提示符中，输入：
NET STOP "_reg"
按回车。将有一个信息说明服务成功停止。
仍旧在命令行提示符中，输入：
NET STOP "Windows Management NetWork Service Extensions"
按回车。将有一个信息说明服务成功停止。
关闭命令提示符窗口。
删除其他恶意文件

右击开始，点击搜索或寻找（取决于Windows的版本）
在名称输入框中，输入：
results.txt; win2k.txt; winxp.txt; AUTORUN.INF
在搜索下拉列表中，选择含有 %System%文件夹的驱动器，点击回车。
一旦找到，删除之

B1层发表时间: 04-06-14 13:40