数码控科技猎奇Iphone动漫星座游戏电竞lolcosplay王者荣耀攻略allcnewsBLOGNEWSBLOGASKBLOGBLOGZSK全部技术问答问答技术问答it问答代码软件新闻开发博客电脑/网络手机/数码笔记本电脑互联网操作系统软件硬件编程开发360产品资源分享电脑知识文档中心IT全部全部分类 全部分类技术牛文全部分类教程最新 网页制作cms教程平面设计媒体动画操作系统网站运营网络安全服务器教程数据库工具网络安全软件教学vbscript正则表达式javascript批处理更多»编程更新教程更新游戏更新allitnewsJava 新闻网络医疗信息化安全创业站长电商科技访谈域名会议专栏创业动态融资创投创业学院 / 产品经理创业公司人物访谈营销 开发数据库服务器系统虚拟化云计算 嵌入式移动开发作业作业1常见软件all电脑网络手机数码生活游戏体育运动明星影音休闲爱好文化艺术社会民生教育科学医疗健康金融管理情感社交地区其他电脑互联网软件硬件编程开发360相关产品手机平板其他电子产品摄影器材360硬件通讯智能设备购物时尚生活常识美容塑身服装服饰出行旅游交通汽车购房置业家居装修美食烹饪单机电脑游戏网页游戏电视游戏桌游棋牌游戏手机游戏小游戏掌机游戏客户端游戏集体游戏其他游戏体育赛事篮球足球其他运动球类运动赛车健身运动运动用品影视娱乐人物音乐动漫摄影摄像收藏宠物幽默搞笑起名花鸟鱼虫茶艺彩票星座占卜书画美术舞蹈小说图书器乐声乐小品相声戏剧戏曲手工艺品历史话题时事政治就业职场军事国防节日风俗法律法规宗教礼仪礼节自然灾害360维权社会人物升学入学人文社科外语资格考试公务员留学出国家庭教育学习方法语文物理生物工程学农业数学化学健康知识心理健康孕育早教内科外科妇产科儿科皮肤科五官科男科整形中医药品传染科其他疾病医院两性肿瘤科创业投资企业管理财务税务银行股票金融理财基金债券保险贸易商务文书国民经济爱情婚姻家庭烦恼北京上海重庆天津黑龙江吉林辽宁河北内蒙古山西陕西宁夏甘肃青海新疆西藏四川贵州云南河南湖北湖南山东江苏浙江安徽江西福建广东广西海南香港澳门台湾海外地区

如何手动清除那些利用了映像劫持技术的病毒

日期:2016/9/11 22:10:00 来源:本网整理
s">

如何手动清除那些利用了映像劫持技术的病毒

作者:佚名 字体:[增加 减小] 来源:互联网 时间:07-08 14:43:56 我要评论

映像劫持(Image Hijack)是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定,在针对杀毒软件方面,OSO病毒还采用了一种新技术就是映像劫持,通过这种技术就可以将杀毒软件置于死地 ">

最近有用户的电脑感染了病毒,开机时就会弹出若干个窗口,也无法关机,只能待内存耗尽,最后导致死机,其实他只是格式化了c分区,重装系统之后开机,还是会出现中病毒的现象。

从上述现象至少得到2个信息:1、病毒会通过自动播放传播;2、病毒可能利用映像劫持。

故障现象

检查故障机,重启时,很自然的想到启动到带命令行的安全模式。运行regedit,结果失败。msconfig一样失败。改regedit.exe为regedit.com,同样失败,没有继续尝试改别的名字。重启电脑进普通模式,想看一下具体中毒的现象。

登录到桌面后,发现一个类似记事本的程序不停打开一个小对话框,速度很快,根本来不及关闭,任务管理器也调不出来。立即拿出我的杀毒U盘,其中常备ProcessExplorer、冰刃、Sreng。发现杀毒U盘没有正常的启动成功。双击冰刃/Sreng都宣告失败。

解决步骤

分别对将icesword和Sreng主程序改名后运行,此时,那个象记事本的病毒程序已经打开近百个对话框,系统变得很慢。在WINXP的任务栏选中这一组窗口,关闭掉,先抢占一些系统资源再说。

然后,双击U盘上的ProcessExplorer,一眼看到有记事本图标的三个进程,尝试结束其中一个,发现结束后,程序会立即重新启动。看来,直接KILL进程是不行的。结束不行,就用下冻结进程,分别选中这三个进程,单击右键,在进程属性中选择Suspend(暂停)进程,病毒就不再弹出新的对话框,杀它就容易了。(参考下图的示例:)

切换到冰刃,简单地通过进程管理,根据病毒进程的程序位置和文件名,轻松使用冰刃内置的文件管理器浏览到这几个文件,复制一个备份到桌面,再单击右键,选择强制删除。

(下图演示冰刃的强制删除):

接下来,再切换到冰刃窗口中的注册表编辑器,浏览到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options,逐个查看子注册表键中对应的程序名,找到另一个病毒程序。(这里要说明一下,有网友认为只需要保留Your Image File Name Here without a path子键,其它都可以删除。觉得这样做还是有风险的,谨慎的做法还是一个子键一个子键的检查,如果发现键值为病毒程序的路径时,再删除这个子键)。

同样,需要使用冰刃的文件管理器将病毒程序强制删除。这个病毒太恶劣了,我发现几乎所有的杀毒软件、防火墙、系统自带的管理工具(regedit,msconfig,cmd,任务管理器)、第三方的系统辅助工具(Sreng、autoruns、冰刃)全部被劫持。

修复注册表后,双击杀毒U盘中的毒霸,新版杀毒U盘增加了监视功能,在我点击桌面备份的那几个病毒程序时,杀毒U盘的监控立即干掉了病毒。然后打开资源管理器,浏览到其它分区根目录,杀毒U盘又把另几个分区根目录下隐藏的病毒干掉。

另类解决方案

在你没有冰刃、Process Explorer时,可以用其人之道,还治其人之身。编辑一个修改注册表的批处理脚本,把病毒程序也给加到映像劫持的清单中,如下示例:

@echo offecho Windows Registry Editor Version 5.00>ssm.regecho [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\syssafe.EXE] >>ssm.regecho "Debugger"="syssafe.EXE" >>ssm.reg (如果发现多个病毒程序,就编辑多行)rem regedit /s ssm.reg &del /q ssm.reg (如果发现多个病毒程序,就编辑多行)

重启电脑后,病毒程序也启动不了,比较毒吧,然后把注册表编辑器的程序名regedit.exe为其它的什么名字,双击后对注册表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options项进行修改。再升级杀毒软件杀毒。

总结

对普通用户来说,遇到这类对抗杀毒软件很强的病毒,实在很棘手。使用杀毒软件轻松修复的可能性很小,手工修复对普通用户来说,很有难度。

建议

1.使用组策略编辑器,关闭所有驱动器的自动播放功能(自动播放功能传播了太多的病毒)。

2.及时升级杀毒软件,防止被这类病毒袭击,中招后再去处理,需要花更多功夫。

3.一旦中毒,应立即联系专业反病毒工程师协助,重装系统不是好方法。

以上就是突袭网为大家介绍的如何手动清除那些利用了映像劫持技术的病毒的教程,想了解更多精彩教程,请继续关注突袭网!

  • 本文相关:
  • 电脑中的木马病毒如何彻底查杀?
  • 360加速球怎么更换皮肤 360如何换加速球皮肤
  • 如何快速清除系统中的木马病毒 木马病毒清除
  • 三招迅速清除U盘内的病毒
  • 推荐2016年强杀电脑木马病毒查杀排行
  • Autorun.inf U盘病毒手工解决方法
  • 瑞星发布国内首款路由器安全免费软件
  • U盘Ripper病毒无法删除的解决方法
  • ESET不能卸载怎么办?
  • Win XP中震荡波后应采取的措施
  • 免责声明 - 关于我们 - 联系我们 - 广告联系 - 友情链接 - 帮助中心 - 频道导航
    Copyright © 2017 www.zgxue.com All Rights Reserved