時間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評論(0)
中毒過程描述：MSN上的一個人發(fā)來照片，說是他國慶旅游照的，好奇就接收了。看了照片沒有多久，機器就中毒了?，F(xiàn)在殺毒軟件不能用、任務(wù)管理器打不開、安全模式進(jìn)不去，想去安全網(wǎng)站求救，連網(wǎng)站都打不開。最可惡的是，連關(guān)機按鈕不見了。
這個問題肯定是MSN傳來的照片有問題。病毒通過MSN，以照片共享的名義傳播。為了得到病毒的詳細(xì)信息，我從生病電腦上提取了樣本送給化驗科的Papa，經(jīng)過他的分析后，得知該病毒就是國慶期間新出的病毒——"灰色插圖"。分析報告如下所示：
分析報告1：該病毒在互聯(lián)網(wǎng)上通過MSN傳播，用戶接收了含病毒的壓縮包并解壓后，會得到.scr圖片文件和.exe病毒。
分析報告2：該病毒運行后，會釋放主文件symlsry和autorun.inf文件到硬盤的每個分區(qū)和移動存儲設(shè)備中，并能通過系統(tǒng)自動播放功能激活病毒。這樣即使重裝了系統(tǒng)，打開非系統(tǒng)盤的其他盤符，也會再次感染病毒。為了隱藏自己，該病毒將主文件保存在自己創(chuàng)建的屬性為隱藏的回收站文件夾下，非常難發(fā)現(xiàn)。
分析報告3：該病毒會創(chuàng)建隱藏的進(jìn)程(進(jìn)程名是隨機的)，用來關(guān)閉安全軟件及一些安全輔助工具。此外，通過修改HOSTS文件禁止用戶登錄安全網(wǎng)站，以阻攔用戶通過網(wǎng)絡(luò)獲得安全廠商的技術(shù)援助。
分析報告4：該病毒會檢測是否在虛擬機中運行，如果發(fā)現(xiàn)不是真實電腦會自動終止執(zhí)行，以避免被人在虛擬機中查到蛛絲馬跡。做完這些，該病毒就會修改注冊表，導(dǎo)致關(guān)機按鈕消失、無法進(jìn)入安全模式等。
清除"灰色插圖"病毒
知道病毒的底細(xì)，就好辦了，我很快就找到了清除方法：
第一步：首先運行安全工具Wsyscheck。運行后切換到"進(jìn)程管理"項，會發(fā)現(xiàn)其中有一個symlsry進(jìn)程，選中該進(jìn)程后點擊右鍵選擇"禁止選擇的程序運行"。
?
??? 第二步：再切換到"安全檢查"中的"活動文件"功能，將此前進(jìn)程中看到的病毒啟動項"修復(fù)并刪除"。此操作會將注冊表中病毒信息以及病毒文件同時處理掉。再切換到"文件管理"，刪除病毒的備份文件，其中包括autorun.inf以及相同修改時間的RECYCLER文件夾。
??? 第三步：進(jìn)入系統(tǒng)分區(qū)下的windows\system32\dirvers\etc\目錄，使用記事本程序打開HOSTS文件，將里面的內(nèi)容完全清空后輸入127.0.0.1 localhost即可。
??? 最后重新安裝殺毒軟件并升級病毒庫到最新版本，再進(jìn)行全盤查殺，將病毒殘留物徹底清除干凈。
關(guān)鍵詞標(biāo)簽：灰色插圖,病毒
相關(guān)閱讀
熱門文章
發(fā)Rootkit.Ads.i 和Trojan.DL.Mach.c病毒如何清除
殺毒36計之手動清除PcShare木馬_PcShare木馬清除方法
注冊表被修改的原因及解決辦法
卡巴斯基2017/2016破解版_kaspersky卡巴斯基2015/2014/2013/2012/2011/2010激活碼/授權(quán)許可文件Key
人氣排行 卡巴斯基2017激活教程_卡巴斯基2017用授權(quán)文件KEY激活的方法(完美激活) 解決alexa.exe自動彈出網(wǎng)頁病毒 卡巴斯基2017破解版_Kaspersky卡巴斯基2017激活碼/授權(quán)許可文件Key comine.exe 病毒清除方法 ekrn.exe占用CPU 100%的解決方案 木馬下載者Trojan-Downloader.Win32.FakeFolder.c手工清除解決方案 發(fā)Rootkit.Ads.i 和Trojan.DL.Mach.c病毒如何清除 一招搞定幾萬種木馬----→ 注冊表權(quán)限設(shè)置