20CN网络安全小组论坛 - 网吧专题

论坛: 网吧专题标题: QQ中木马？

复制本贴地址

作者: billzhong [billzhong]

论坛用户

这几天网吧的电脑上的QQ 不知怎么回事，一回车就会有：
“ttp://tz.ne1.net去看我照片”
查毒又没有，是不是中了木马呀，重装还是一样，请问哪个高手能解决呀！！！！

地主发表时间: 05/27 20:47

回复: vtemqj [vtemqj]

论坛用户

不是木马,是病毒.
爱情森林病毒.下个专杀工具就可以.

B1层发表时间: 05/27 21:14

回复: billzhong [billzhong]

论坛用户

我已有最新版的金山DB还不能删?

B2层发表时间: 05/28 08:10

回复: vtemqj [vtemqj]

论坛用户

以下是我在WWW.IDUBA.NET里找到的相关资料,你自己看看吧.

　
8月25日，金山反病毒急处理中心通过全球领先的反病毒监测网截获到首个“爱情森林”病毒，然而在随后几天里，金山公司的反病毒监测网又截获其数个变种。据金山公司的统计，至目前为止，该木马病毒已衍生出五个变种，这一系列病毒都是利用QQ软件的聊天机制向用户发送恶意网页链接，诱导用户点击以达到快速传播自己的目的。有的变种还会盗取用户的QQ密码。目前已有不少用户受此病毒危害，金山公司经过紧急行动，已发布了最新的升级包，用户只要升级到最新病毒库，就能查杀所有病毒及其变种。

　　病毒及其变种特征：

　　“爱情森林”特征

　　变种一的特征

　　变种二的特征

　　变种三的特征

　　变种四的特征

　　变种五的特征

　　手工清除方法

　　爱情森林的清除：

　　(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。

　　(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下名为Explorer的键值。

　　变种一的清除：

　　(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。

　　(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。

　　(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下名为intarnet=%windows\system%rundll.exe"的键值。恢复HKEY_CLASSES_ROOT\txtfile\shell\open\command的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹)

　　(4)若根目录下存在文件setup.txt或mima.txt,将其删除。

　　变种二的清除：

　　(1)打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。

　　(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersionRun下名为Explorer的键值。

　　变种三的清除：

　　(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。

　　(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。

　　(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下名为intarnet=%windows\system%

　　undll.exe"的键值。恢复HKEY_CLASSES_ROOTxt\file\shell\open\command的默认键值为Notepad %1。

　　(其中%windowssystem%为Windows的系统文件夹)

　　(4)恢复IE的设置。打开注册表编辑器，恢复HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\MainStart Page，HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL，HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Local Page的设置为原来的内容。

　　变种四的清除：

　　(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。

　　或者重新启动到DOS下到system目录直接删除该木马程序。

　　(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下名为Explorer的键值。

　　变种五的清除：

　　(1)在98下重新启动到DOS下，进入Windows目录，删除掉Windows目录下的winupdate.exe和winver.exe文件，并将regedit.exe文件改名为regedit.com，然后重新进入Windows，打开注册表编辑器。

　　(2)在2000下先打开注册表编辑器，然后用任务管理器关掉正在运行的名为winupdate和winver的木马程序，并到winnt目录下将它们删除。

　　(3)在注册表编辑器中找到HKEY_CLASSES_ROOT xtfile\shell\opencommand，将其默认键值改为"Notepad.exe %1";找到HKEY_CLASSES_ROOTexefileshellopencommand，将其默认键值改为"%1" %*。

　　(4)恢复IE的设置。打开注册表编辑器，恢复

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Start Page，

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL，

　　HKEY_LOCAL_MACHIN\ESoftware\Microsoft\Internet Explorer\Main\CustomizeSearch，

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\SearchAssistant，

　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page，

　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Default_Page_URL，

　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\CustomizeSearch，

　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\SearchAssistant的设置为原来的内容。(可下载金山毒霸的注册表修复工具进行自动修复)

　　(5)删除掉木马程序生成的hosts文件。

B3层发表时间: 05/28 12:53